Trojaner-Board

Trojaner-Board (https://www.trojaner-board.de/)
-   Log-Analyse und Auswertung (https://www.trojaner-board.de/log-analyse-auswertung/)
-   -   Falsche Links bei google (https://www.trojaner-board.de/58845-falsche-links-google.html)

2xSchmux 31.08.2008 00:01
Falsche Links bei google
 
Hallo zusammen, ich werde bei suchanfragen bei google immer auf ebay seiten oder ähnliches umgeleitet und nicht das wonach ich eigentlich gesucht habe. Ausserdem bekomme ich zweifelhafte antivirus programme angeboten die ich unbedingt installieren muss damit mein windows xp sicher bleibt^^.
Ich habe Antivir laufen lassen, hat auch relativ viele Viren gefunden. Trojaner, dropper und ähnliches. Hat bis jetzt aber nix geholfen, vielleicht könnt ihr mir helfen?
Hier mein HJT Logfile:

Code:
Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 00:27:43, on 31.08.2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16705)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe
C:\Programme\Gemeinsame Dateien\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
C:\Programme\Gemeinsame Dateien\Autodesk Shared\Service\AdskScSrv.exe
C:\Programme\Symantec\LiveUpdate\ALUSchedulerSvc.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\WINDOWS\system32\PhnxCDSvr.exe
C:\WINDOWS\system32\PnkBstrA.exe
C:\WINDOWS\system32\svchost.exe
C:\Programme\Virtual CD v8\System\VC8SecS.exe
C:\WINDOWS\system32\DRIVERS\WtSrv.exe
C:\WINDOWS\system32\VTTimer.exe
C:\Programme\Java\jre1.6.0_07\bin\jusched.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe
C:\WINDOWS\system32\RUNDLL32.EXE
C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe
C:\WINDOWS\system32\WService.EXE
C:\WINDOWS\system32\ctfmon.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\Trend Micro\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://start.icq.com/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R3 - URLSearchHook: ICQ Toolbar - {855F3B16-6D32-4fe6-8A56-BBB695989046} - C:\PROGRA~1\ICQTOO~1\toolbaru.dll
O2 - BHO: XTTBPos00 - {055FD26D-3A88-4e15-963D-DC8493744B1D} - C:\PROGRA~1\ICQTOO~1\toolbaru.dll
O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.6.0_07\bin\ssv.dll
O3 - Toolbar: ICQ Toolbar - {855F3B16-6D32-4fe6-8A56-BBB695989046} - C:\PROGRA~1\ICQTOO~1\toolbaru.dll
O4 - HKLM\..\Run: [VTTimer] VTTimer.exe
O4 - HKLM\..\Run: [VTTrayp] VTtrayp.exe
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programme\Java\jre1.6.0_07\bin\jusched.exe"
O4 - HKLM\..\Run: [avgnt] "C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [WService] WService.EXE
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [TkBellExe] "C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe"  -osboot
O4 - HKLM\..\Run: [PSDrvCheck] C:\WINDOWS\system32\PSDrvCheck.exe
O4 - HKCU\..\Run: [updateMgr] "C:\Programme\Adobe\Acrobat 7.0\Reader\AdobeUpdateManager.exe" acrdb7_0_9
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [SVCHOST.EXE] C:\WINDOWS\system32\drivers\svchost.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'NETZWERKDIENST')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - S-1-5-18 Startup: StarOffice 7.lnk = C:\Program Files\StarOffice7\program\quickstart.exe (User 'SYSTEM')
O4 - .DEFAULT Startup: StarOffice 7.lnk = C:\Program Files\StarOffice7\program\quickstart.exe (User 'Default user')
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Programme\Gemeinsame Dateien\Adobe\Calibration\Adobe Gamma Loader.exe
O8 - Extra context menu item: Add selected links to Link Container - C:\PROGRA~2\ANTIVI~1\WEBFIL~1\System\Scripts\off_collector_sel.htm
O8 - Extra context menu item: Show domain links - C:\PROGRA~2\ANTIVI~1\WEBFIL~1\System\Scripts\off_domain_links.htm
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_07\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_07\bin\ssv.dll
O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe (file missing)
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe (file missing)
O9 - Extra button: Real.com - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - C:\WINDOWS\system32\Shdocvw.dll
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Programme\ICQ6\ICQ.exe
O9 - Extra 'Tools' menuitem: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Programme\ICQ6\ICQ.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O14 - IERESET.INF: START_PAGE_URL=http://www.yakumo.de
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.com/v5consumer/V5Controls/en/x86/client/wuweb_site.cab?1106423904781
O20 - AppInit_DLLs: 
O23 - Service: AntiVir PersonalEdition Classic Planer (AntiVirScheduler) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: Apple Mobile Device - Apple, Inc. - C:\Programme\Gemeinsame Dateien\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
O23 - Service: Autodesk Licensing Service - Autodesk - C:\Programme\Gemeinsame Dateien\Autodesk Shared\Service\AdskScSrv.exe
O23 - Service: Automatisches LiveUpdate - Scheduler - Symantec Corporation - C:\Programme\Symantec\LiveUpdate\ALUSchedulerSvc.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\1150\Intel 32\IDriverT.exe
O23 - Service: iPod-Dienst (iPod Service) - Apple Inc. - C:\Programme\iPod\bin\iPodService.exe
O23 - Service: LiveUpdate - Symantec Corporation - C:\PROGRA~1\Symantec\LIVEUP~1\LUCOMS~1.EXE
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: Phoenix VCD Service (PhnxVCDService) - Phoenix Technologies Ltd. - C:\WINDOWS\system32\PhnxCDSvr.exe
O23 - Service: PnkBstrA - Unknown owner - C:\WINDOWS\system32\PnkBstrA.exe
O23 - Service: PsShutdown (PsShutdownSvc) - Systems Internals - C:\WINDOWS\System32\PSSDNSVC.EXE
O23 - Service: TuneUp Drive Defrag-Dienst (TuneUp.Defrag) - TuneUp Software GmbH - C:\WINDOWS\System32\TuneUpDefragService.exe
O23 - Service: SecuROM User Access Service (V7) (UserAccess7) - Unknown owner - C:\WINDOWS\system32\UAService7.exe (file missing)
O23 - Service: Virtual CD v8 Management Service (VC8SecS) - H+H Software GmbH - C:\Programme\Virtual CD v8\System\VC8SecS.exe
O23 - Service: WinTab Service (WinTabService) - Tablet Driver - C:\WINDOWS\system32\DRIVERS\WtSrv.exe

--
End of file - 7928 bytes
Dankeschön schonmal im vorraus!

myrtille 31.08.2008 00:14
Hi,

poste bitte das Log von Antivir, indem die gefundenen und bereinigten Viren gelistet sind.

Lasse bitte außerdem folgende Datei bei virustotal auswerten:
Zitat:
C:\WINDOWS\system32\drivers\svchost.exe

Erstelle anschließend einen Scan mit Malwarebytes und poste das Log dann hier.

lg myrtille

2xSchmux 31.08.2008 01:52
So,erstmal danke für die schnelle antwort! Also, diese svchost.exe auswerten zu lassen ist daran gescheitert dass mein rechner bzw. mein firefox keine internetverbindung zulässt.D.h. ich kann die virustotal seite nicht aufrufen, genausowenig wie ich auf das trojaner-board zugreifen kann. Scheint so als würde der virus (?) das irgendwie zu blockieren oder so. Ich bin zwar im Internet, kann auch auf google zugreifen aber wenn ich suchbegriffe mit "virus" oder ähnlichem eingebe schickt mich google auf irgendwelche andren seiten.
Achso ausserdem habe ich seit neuestem statt einem Bildschirmschoner einen blauen Bildschirm mit der Fehlermeldung "Unexpected_Kernel_Mode_Trap". Vielleicht kann ja jmd. etwas damit anfangen...
Ok hier jetzt, die AntiVir Logs:

Code:
Avira AntiVir Personal
Erstellungsdatum der Reportdatei: Samstag, 30. August 2008  11:59

Es wird nach 1579990 Virenstämmen gesucht.

Lizenznehmer:    Avira AntiVir PersonalEdition Classic
Seriennummer:    0000149996-ADJIE-0001
Plattform:        Windows XP
Windowsversion:  (Service Pack 2)  [5.1.2600]
Boot Modus:      Normal gebootet
Benutzername:    SYSTEM
Computername:    ***

Versionsinformationen:
BUILD.DAT    : 8.1.0.331      16934 Bytes  12.08.2008 11:44:00
AVSCAN.EXE    : 8.1.4.7      315649 Bytes  18.07.2008 22:16:33
AVSCAN.DLL    : 8.1.4.0        48897 Bytes  18.07.2008 22:16:33
LUKE.DLL      : 8.1.4.5      164097 Bytes  18.07.2008 22:16:33
LUKERES.DLL  : 8.1.4.0        12545 Bytes  18.07.2008 22:16:33
ANTIVIR0.VDF  : 6.40.0.0    11030528 Bytes  18.07.2007 14:40:59
ANTIVIR1.VDF  : 7.0.5.1      8182784 Bytes  24.06.2008 11:32:09
ANTIVIR2.VDF  : 7.0.6.60    2802176 Bytes  24.08.2008 18:28:55
ANTIVIR3.VDF  : 7.0.6.84      156672 Bytes  28.08.2008 10:40:35
Engineversion : 8.1.1.23 
AEVDF.DLL    : 8.1.0.5      102772 Bytes  20.04.2008 09:00:51
AESCRIPT.DLL  : 8.1.0.68      315770 Bytes  24.08.2008 18:29:06
AESCN.DLL    : 8.1.0.23      119156 Bytes  16.07.2008 13:06:45
AERDL.DLL    : 8.1.0.20      418165 Bytes  26.04.2008 11:09:32
AEPACK.DLL    : 8.1.2.1      364917 Bytes  16.07.2008 13:06:45
AEOFFICE.DLL  : 8.1.0.22      192890 Bytes  24.08.2008 18:29:05
AEHEUR.DLL    : 8.1.0.50    1388918 Bytes  24.08.2008 18:29:03
AEHELP.DLL    : 8.1.0.15      115063 Bytes  29.05.2008 13:48:57
AEGEN.DLL    : 8.1.0.36      315764 Bytes  24.08.2008 18:28:59
AEEMU.DLL    : 8.1.0.7      430452 Bytes  03.08.2008 10:36:03
AECORE.DLL    : 8.1.1.8      172406 Bytes  03.08.2008 10:36:02
AEBB.DLL      : 8.1.0.1        53617 Bytes  17.07.2008 13:05:01
AVWINLL.DLL  : 1.0.0.12      15105 Bytes  18.07.2008 22:16:33
AVPREF.DLL    : 8.0.2.0        38657 Bytes  18.07.2008 22:16:33
AVREP.DLL    : 8.0.0.2        98344 Bytes  03.08.2008 10:36:01
AVREG.DLL    : 8.0.0.1        33537 Bytes  18.07.2008 22:16:33
AVARKT.DLL    : 1.0.0.23      307457 Bytes  20.04.2008 09:00:50
AVEVTLOG.DLL  : 8.0.0.16      119041 Bytes  18.07.2008 22:16:33
SQLITE3.DLL  : 3.3.17.1      339968 Bytes  20.04.2008 09:00:51
SMTPLIB.DLL  : 1.2.0.23      28929 Bytes  18.07.2008 22:16:34
NETNT.DLL    : 8.0.0.1        7937 Bytes  20.04.2008 09:00:51
RCIMAGE.DLL  : 8.0.0.51    2371841 Bytes  18.07.2008 22:16:30
RCTEXT.DLL    : 8.0.52.0      86273 Bytes  18.07.2008 22:16:30

Konfiguration für den aktuellen Suchlauf:
Job Name.........................: Vollständige Systemprüfung
Konfigurationsdatei..............: c:\programme\avira\antivir personaledition classic\sysscan.avp
Protokollierung..................: niedrig
Primäre Aktion...................: interaktiv
Sekundäre Aktion.................: ignorieren
Durchsuche Masterbootsektoren....: aus
Durchsuche Bootsektoren..........: ein
Bootsektoren.....................: C:,
Durchsuche aktive Programme......: ein
Durchsuche Registrierung.........: ein
Suche nach Rootkits..............: aus
Datei Suchmodus..................: Intelligente Dateiauswahl
Durchsuche Archive...............: ein
Rekursionstiefe einschränken.....: 20
Archiv Smart Extensions..........: ein
Makrovirenheuristik..............: ein
Dateiheuristik...................: mittel

Beginn des Suchlaufs: Samstag, 30. August 2008  11:59

Der Suchlauf über gestartete Prozesse wird begonnen:
Durchsuche Prozess 'update.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'avscan.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'wuauclt.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'RegistryCleaner.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'wmiprvse.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'ctfmon.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'WService.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'realsched.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'rundll32.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'avgnt.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'jusched.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'VTTimer.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'alg.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'WtSrv.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'OneClick.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'explorer.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'VC8SecS.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'wdfmgr.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'PnkBstrA.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'PhnxCDSvr.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'nvsvc32.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'AluSchedulerSvc.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'AdskScSrv.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'AppleMobileDeviceService.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'sched.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'avguard.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'spoolsv.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'lsass.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'services.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'winlogon.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'csrss.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'smss.exe' - '1' Modul(e) wurden durchsucht
Es wurden '38' Prozesse mit '38' Modulen durchsucht

Der Suchlauf über die Bootsektoren wird begonnen:
Bootsektor 'C:\'
    [INFO]      Es wurde kein Virus gefunden!

Der Suchlauf auf Verweise zu ausführbaren Dateien (Registry) wird begonnen.
Die Registry wurde durchsucht ( '61' Dateien ).


Der Suchlauf über die ausgewählten Dateien wird begonnen:

Beginne mit der Suche in 'C:\' <C>
C:\hiberfil.sys
    [WARNUNG]  Die Datei konnte nicht geöffnet werden!
C:\pagefile.sys
    [WARNUNG]  Die Datei konnte nicht geöffnet werden!

C:\WINDOWS\system32\lphc3vaj0erfv.exe
    [FUND]      Enthält ein Erkennungsmuster des (gefährlichen) Backdoorprogrammes BDS/Frauder.AT
    [HINWEIS]  Die Datei wurde gelöscht.
C:\WINDOWS\system32\phc3vaj0erfv.bmp
    [FUND]      Ist das Trojanische Pferd TR/Fakealert.AAF
    [HINWEIS]  Die Datei wurde gelöscht.
C:\WINDOWS\system32\drivers\sptd.sys
    [WARNUNG]  Die Datei konnte nicht geöffnet werden!


Ende des Suchlaufs: Samstag, 30. August 2008  13:47
Benötigte Zeit:  1:48:03 Stunde(n)

Der Suchlauf wurde vollständig durchgeführt.

  13349 Verzeichnisse wurden überprüft
 542383 Dateien wurden geprüft
      2 Viren bzw. unerwünschte Programme wurden gefunden
      0 Dateien wurden als verdächtig eingestuft
      2 Dateien wurden gelöscht
      0 Viren bzw. unerwünschte Programme wurden repariert
      0 Dateien wurden in die Quarantäne verschoben
      0 Dateien wurden umbenannt
      3 Dateien konnten nicht durchsucht werden
 542378 Dateien ohne Befall
  10051 Archive wurden durchsucht
      4 Warnungen
      2 Hinweise





Avira AntiVir Personal
Erstellungsdatum der Reportdatei: Donnerstag, 28. August 2008  13:24

Es wird nach 1579990 Virenstämmen gesucht.

Lizenznehmer:    Avira AntiVir PersonalEdition Classic
Seriennummer:    0000149996-ADJIE-0001
Plattform:        Windows XP
Windowsversion:  (Service Pack 2)  [5.1.2600]
Boot Modus:      Normal gebootet
Benutzername:    SYSTEM
Computername:    ***

Versionsinformationen:
BUILD.DAT    : 8.1.0.331      16934 Bytes  12.08.2008 11:44:00
AVSCAN.EXE    : 8.1.4.7      315649 Bytes  18.07.2008 22:16:33
AVSCAN.DLL    : 8.1.4.0        48897 Bytes  18.07.2008 22:16:33
LUKE.DLL      : 8.1.4.5      164097 Bytes  18.07.2008 22:16:33
LUKERES.DLL  : 8.1.4.0        12545 Bytes  18.07.2008 22:16:33
ANTIVIR0.VDF  : 6.40.0.0    11030528 Bytes  18.07.2007 14:40:59
ANTIVIR1.VDF  : 7.0.5.1      8182784 Bytes  24.06.2008 11:32:09
ANTIVIR2.VDF  : 7.0.6.60    2802176 Bytes  24.08.2008 18:28:55
ANTIVIR3.VDF  : 7.0.6.84      156672 Bytes  28.08.2008 10:40:35
Engineversion : 8.1.1.23 
AEVDF.DLL    : 8.1.0.5      102772 Bytes  20.04.2008 09:00:51
AESCRIPT.DLL  : 8.1.0.68      315770 Bytes  24.08.2008 18:29:06
AESCN.DLL    : 8.1.0.23      119156 Bytes  16.07.2008 13:06:45
AERDL.DLL    : 8.1.0.20      418165 Bytes  26.04.2008 11:09:32
AEPACK.DLL    : 8.1.2.1      364917 Bytes  16.07.2008 13:06:45
AEOFFICE.DLL  : 8.1.0.22      192890 Bytes  24.08.2008 18:29:05
AEHEUR.DLL    : 8.1.0.50    1388918 Bytes  24.08.2008 18:29:03
AEHELP.DLL    : 8.1.0.15      115063 Bytes  29.05.2008 13:48:57
AEGEN.DLL    : 8.1.0.36      315764 Bytes  24.08.2008 18:28:59
AEEMU.DLL    : 8.1.0.7      430452 Bytes  03.08.2008 10:36:03
AECORE.DLL    : 8.1.1.8      172406 Bytes  03.08.2008 10:36:02
AEBB.DLL      : 8.1.0.1        53617 Bytes  17.07.2008 13:05:01
AVWINLL.DLL  : 1.0.0.12      15105 Bytes  18.07.2008 22:16:33
AVPREF.DLL    : 8.0.2.0        38657 Bytes  18.07.2008 22:16:33
AVREP.DLL    : 8.0.0.2        98344 Bytes  03.08.2008 10:36:01
AVREG.DLL    : 8.0.0.1        33537 Bytes  18.07.2008 22:16:33
AVARKT.DLL    : 1.0.0.23      307457 Bytes  20.04.2008 09:00:50
AVEVTLOG.DLL  : 8.0.0.16      119041 Bytes  18.07.2008 22:16:33
SQLITE3.DLL  : 3.3.17.1      339968 Bytes  20.04.2008 09:00:51
SMTPLIB.DLL  : 1.2.0.23      28929 Bytes  18.07.2008 22:16:34
NETNT.DLL    : 8.0.0.1        7937 Bytes  20.04.2008 09:00:51
RCIMAGE.DLL  : 8.0.0.51    2371841 Bytes  18.07.2008 22:16:30
RCTEXT.DLL    : 8.0.52.0      86273 Bytes  18.07.2008 22:16:30

Konfiguration für den aktuellen Suchlauf:
Job Name.........................: Vollständige Systemprüfung
Konfigurationsdatei..............: c:\programme\avira\antivir personaledition classic\sysscan.avp
Protokollierung..................: niedrig
Primäre Aktion...................: interaktiv
Sekundäre Aktion.................: ignorieren
Durchsuche Masterbootsektoren....: aus
Durchsuche Bootsektoren..........: ein
Bootsektoren.....................: C:,
Durchsuche aktive Programme......: ein
Durchsuche Registrierung.........: ein
Suche nach Rootkits..............: aus
Datei Suchmodus..................: Intelligente Dateiauswahl
Durchsuche Archive...............: ein
Rekursionstiefe einschränken.....: 20
Archiv Smart Extensions..........: ein
Makrovirenheuristik..............: ein
Dateiheuristik...................: mittel

Beginn des Suchlaufs: Donnerstag, 28. August 2008  13:24

Der Suchlauf über gestartete Prozesse wird begonnen:
Durchsuche Prozess 'wuauclt.exe' - '0' Modul(e) wurden durchsucht
Durchsuche Prozess 'avscan.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'wmiprvse.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'firefox.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'WgaTray.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'alg.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'WService.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'ctfmon.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'realsched.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'rundll32.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'avgnt.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'jusched.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'VTTimer.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'WtSrv.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'VC8SecS.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'UAService7.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'wdfmgr.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'PnkBstrA.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'PhnxCDSvr.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'nvsvc32.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'AluSchedulerSvc.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'AdskScSrv.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'AppleMobileDeviceService.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'explorer.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'sched.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'avguard.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'spoolsv.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'lsass.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'services.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'winlogon.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'csrss.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'smss.exe' - '1' Modul(e) wurden durchsucht
Es wurden '38' Prozesse mit '38' Modulen durchsucht

Der Suchlauf über die Bootsektoren wird begonnen:
Bootsektor 'C:\'
    [INFO]      Es wurde kein Virus gefunden!

Der Suchlauf auf Verweise zu ausführbaren Dateien (Registry) wird begonnen.
Die Registry wurde durchsucht ( '61' Dateien ).


Der Suchlauf über die ausgewählten Dateien wird begonnen:

Beginne mit der Suche in 'C:\' <C>
C:\hiberfil.sys
    [WARNUNG]  Die Datei konnte nicht geöffnet werden!
C:\pagefile.sys
    [WARNUNG]  Die Datei konnte nicht geöffnet werden!

C:\Dokumente und Einstellungen\***\Lokale Einstellungen\Temp\.ttA9.tmp
    [FUND]      Enthält Erkennungsmuster des Droppers DR/Fraud.Anti2008.C
    [HINWEIS]  Die Datei wurde gelöscht.
C:\Dokumente und Einstellungen\***\Lokale Einstellungen\Temp\.ttA9.tmp.exe
    [FUND]      Enthält Erkennungsmuster des Droppers DR/Fraud.Anti2008.C
    [HINWEIS]  Die Datei wurde gelöscht.
C:\Dokumente und Einstellungen\***\Lokale Einstellungen\Temp\Acr647A.tmp
    [0] Archivtyp: PDF Stream
    --> Object
      [FUND]      Enthält Erkennungsmuster des Exploits EXP/Pidief.AF
    [HINWEIS]  Die Datei wurde gelöscht.
C:\Dokumente und Einstellungen\***\Lokale Einstellungen\Temporary Internet Files\Content.IE5\8CRZNBXQ\._file[1].exe
    [FUND]      Ist das Trojanische Pferd TR/Agent.26624.37
    [HINWEIS]  Die Datei wurde gelöscht.


Ende des Suchlaufs: Donnerstag, 28. August 2008  14:28
Benötigte Zeit:  1:04:34 Stunde(n)

Der Suchlauf wurde abgebrochen!

  4352 Verzeichnisse wurden überprüft
 149426 Dateien wurden geprüft
      4 Viren bzw. unerwünschte Programme wurden gefunden
      0 Dateien wurden als verdächtig eingestuft
      4 Dateien wurden gelöscht
      0 Viren bzw. unerwünschte Programme wurden repariert
      0 Dateien wurden in die Quarantäne verschoben
      0 Dateien wurden umbenannt
      2 Dateien konnten nicht durchsucht werden
 149420 Dateien ohne Befall
  2806 Archive wurden durchsucht
      3 Warnungen
      4 Hinweise

Und der Malwarebytes Log:

Code:
Malwarebytes' Anti-Malware 1.25
Datenbank Version: 1099
Windows 5.1.2600 Service Pack 2

02:35:19 31.08.2008
mbam-log-08-31-2008 (02-35-19).txt

Scan-Methode: Vollständiger Scan (C:\|F:\|)
Durchsuchte Objekte: 236325
Laufzeit: 56 minute(s), 36 second(s)

Infizierte Speicherprozesse: 0
Infizierte Speichermodule: 0
Infizierte Registrierungsschlüssel: 9
Infizierte Registrierungswerte: 6
Infizierte Dateiobjekte der Registrierung: 2
Infizierte Verzeichnisse: 4
Infizierte Dateien: 45

Infizierte Speicherprozesse:
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\rhc7vaj0erfv (Rogue.Multiple) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\rhc7vaj0erfv (Rogue.Multiple) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\tdssdata (Trojan.Agent) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\tdss (Trojan.Agent) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Software Notifier (Rogue.Multiple) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\SaveNow (Adware.WhenUSave) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\WhenUSave (Adware.WhenUSave) -> Quarantined and deleted successfully.
HKEY_CLASSES_ROOT\AppID\ACM.DLL (Adware.WhenUSave) -> Quarantined and deleted successfully.
HKEY_CLASSES_ROOT\WUSN.1 (Adware.WhenUSave) -> Quarantined and deleted successfully.

Infizierte Registrierungswerte:
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\svchost.exe (Trojan.Agent) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Internet Explorer\New Windows\Allow\netsearchsoft.com (Malware.Trace) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Internet Explorer\New Windows\Allow\www.netsearchsoft.com (Malware.Trace) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\Control Panel\Desktop\originalwallpaper (Hijack.Wallpaper) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\Control Panel\Desktop\convertedwallpaper (Hijack.Wallpaper) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\Control Panel\Desktop\scrnsave.exe (Hijack.Wallpaper) -> Quarantined and deleted successfully.

Infizierte Dateiobjekte der Registrierung:
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\NoDispBackgroundPage (Hijack.DisplayProperties) -> Bad: (1) Good: (0) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\NoDispScrSavPage (Hijack.DisplayProperties) -> Bad: (1) Good: (0) -> Quarantined and deleted successfully.

Infizierte Verzeichnisse:
C:\Programme\AdvancedCleaner Free (Rogue.Advanced.Cleaner) -> Quarantined and deleted successfully.
C:\Programme\AdvancedCleaner Free\AppDB (Rogue.Advanced.Cleaner) -> Quarantined and deleted successfully.
C:\Programme\Save (Adware.WhenUSave) -> Quarantined and deleted successfully.
C:\Programme\rhc7vaj0erfv (Rogue.Multiple) -> Quarantined and deleted successfully.

Infizierte Dateien:
C:\Programme\Save\Save.exe (Adware.WhenUSave) -> Quarantined and deleted successfully.
C:\WINDOWS\system32\blphc3vaj0erfv.scr (Trojan.FakeAlert) -> Quarantined and deleted successfully.
C:\Programme\AdvancedCleaner Free\acu.dat (Rogue.Advanced.Cleaner) -> Quarantined and deleted successfully.
C:\Programme\AdvancedCleaner Free\antiVlog.dat (Rogue.Advanced.Cleaner) -> Quarantined and deleted successfully.
C:\Programme\AdvancedCleaner Free\appAct.dat (Rogue.Advanced.Cleaner) -> Quarantined and deleted successfully.
C:\Programme\AdvancedCleaner Free\appv.dat (Rogue.Advanced.Cleaner) -> Quarantined and deleted successfully.
C:\Programme\AdvancedCleaner Free\err.log (Rogue.Advanced.Cleaner) -> Quarantined and deleted successfully.
C:\Programme\AdvancedCleaner Free\lapv.dat (Rogue.Advanced.Cleaner) -> Quarantined and deleted successfully.
C:\Programme\AdvancedCleaner Free\license.rtf (Rogue.Advanced.Cleaner) -> Quarantined and deleted successfully.
C:\Programme\AdvancedCleaner Free\manual.url (Rogue.Advanced.Cleaner) -> Quarantined and deleted successfully.
C:\Programme\AdvancedCleaner Free\naglinks.dat (Rogue.Advanced.Cleaner) -> Quarantined and deleted successfully.
C:\Programme\AdvancedCleaner Free\readme.rtf (Rogue.Advanced.Cleaner) -> Quarantined and deleted successfully.
C:\Programme\AdvancedCleaner Free\report.dat (Rogue.Advanced.Cleaner) -> Quarantined and deleted successfully.
C:\Programme\AdvancedCleaner Free\req.dat (Rogue.Advanced.Cleaner) -> Quarantined and deleted successfully.
C:\Programme\AdvancedCleaner Free\request.dat (Rogue.Advanced.Cleaner) -> Quarantined and deleted successfully.
C:\Programme\AdvancedCleaner Free\support.url (Rogue.Advanced.Cleaner) -> Quarantined and deleted successfully.
C:\Programme\AdvancedCleaner Free\tasks.dat (Rogue.Advanced.Cleaner) -> Quarantined and deleted successfully.
C:\Programme\AdvancedCleaner Free\transformer.dat (Rogue.Advanced.Cleaner) -> Quarantined and deleted successfully.
C:\Programme\AdvancedCleaner Free\UADC.url (Rogue.Advanced.Cleaner) -> Quarantined and deleted successfully.
C:\Programme\AdvancedCleaner Free\UADC.xml (Rogue.Advanced.Cleaner) -> Quarantined and deleted successfully.
C:\Programme\AdvancedCleaner Free\unins000.dat (Rogue.Advanced.Cleaner) -> Quarantined and deleted successfully.
C:\Programme\AdvancedCleaner Free\upser.dat (Rogue.Advanced.Cleaner) -> Quarantined and deleted successfully.
C:\Programme\AdvancedCleaner Free\AppDB\AppBase.xml (Rogue.Advanced.Cleaner) -> Quarantined and deleted successfully.
C:\Programme\AdvancedCleaner Free\AppDB\profiles.dat (Rogue.Advanced.Cleaner) -> Quarantined and deleted successfully.
C:\Programme\AdvancedCleaner Free\AppDB\prowords.dat (Rogue.Advanced.Cleaner) -> Quarantined and deleted successfully.
C:\Programme\Save\ffext.mod (Adware.WhenUSave) -> Quarantined and deleted successfully.
C:\Programme\Save\save.db (Adware.WhenUSave) -> Quarantined and deleted successfully.
C:\Programme\Save\SaveUninst.exe (Adware.WhenUSave) -> Quarantined and deleted successfully.
C:\Programme\Save\store.db (Adware.WhenUSave) -> Quarantined and deleted successfully.
C:\WINDOWS\system32\tdssadw.dll (Trojan.Agent) -> Delete on reboot.
C:\WINDOWS\system32\tdssl.dll (Trojan.Agent) -> Delete on reboot.
C:\WINDOWS\system32\tdssserf.dll (Trojan.Agent) -> Delete on reboot.
C:\WINDOWS\system32\tdssmain.dll (Trojan.Agent) -> Delete on reboot.
C:\WINDOWS\system32\tdssinit.dll (Trojan.Agent) -> Delete on reboot.
C:\WINDOWS\system32\tdsslog.dll (Trojan.Agent) -> Delete on reboot.
C:\WINDOWS\system32\tdssservers.dat (Trojan.Agent) -> Delete on reboot.
C:\WINDOWS\system32\drivers\tdssserv.sys (Trojan.Agent) -> Delete on reboot.
C:\Dokumente und Einstellungen\***\Lokale Einstellungen\Temp\.tt4.tmp (Trojan.Downloader) -> Quarantined and deleted successfully.
C:\Dokumente und Einstellungen\***\Lokale Einstellungen\Temp\.tt5.tmp (Trojan.Downloader) -> Quarantined and deleted successfully.
C:\Dokumente und Einstellungen\***\Lokale Einstellungen\Temp\.tt6.tmp (Trojan.Downloader) -> Quarantined and deleted successfully.
C:\Dokumente und Einstellungen\***\Lokale Einstellungen\Temp\.tt8.tmp (Trojan.Downloader) -> Quarantined and deleted successfully.
C:\Dokumente und Einstellungen\***\Anwendungsdaten\addon.dat (Malware.Trace) -> Quarantined and deleted successfully.
C:\Dokumente und Einstellungen\***\Favoriten\Error Cleaner.url (Rogue.Link) -> Quarantined and deleted successfully.
C:\Dokumente und Einstellungen\***\Favoriten\Privacy Protector.url (Rogue.Link) -> Quarantined and deleted successfully.
C:\Dokumente und Einstellungen\***\Favoriten\Spyware&Malware Protection.url (Rogue.Link) -> Quarantined and deleted successfully.
Danke nochmal!

myrtille 31.08.2008 01:59
Heya,
Es ist schon spät. Hätte bei dem Titel und deiner Beschreibung auch selbst bemerken können, dass du wohl nicht auf die gewollte Seite kommen wirst. :uglyhammer:

Hast du den Rechner neugestartet? Wenn nicht tue das bitte jetzt. Wie geht es den Umleitungen? Was sagt der Rechner?

Poste bitte ein neues Hijackthislog.

Für den Bluescreen bräuchte ich noch die Zahlenfolgen, die unter dem UNEXPECTED_.... stehen, sowie, wenn vorhanden, die Datei, durch die der BSOD verursacht wurde.

lg myrtille

2xSchmux 31.08.2008 02:29
Unglaublich, nach dem Neustart findet er virustotal wieder.
Die svchost.exe kann ich nur unter dem Verzeichnis C:\WINDOWS\system32\svchost.exe finden, nicht unter "drivers". Besteht da ein unterschied? Oder soll ich eben diese auf virustotal überprüfen lassen?
Hier noch der HJT Log:

Code:
Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 03:19:21, on 31.08.2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16705)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe
C:\Programme\Gemeinsame Dateien\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
C:\Programme\Gemeinsame Dateien\Autodesk Shared\Service\AdskScSrv.exe
C:\Programme\Symantec\LiveUpdate\ALUSchedulerSvc.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\WINDOWS\system32\PhnxCDSvr.exe
C:\WINDOWS\system32\PnkBstrA.exe
C:\WINDOWS\system32\svchost.exe
C:\Programme\Virtual CD v8\System\VC8SecS.exe
C:\WINDOWS\system32\DRIVERS\WtSrv.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\VTTimer.exe
C:\Programme\Java\jre1.6.0_07\bin\jusched.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe
C:\WINDOWS\system32\RUNDLL32.EXE
C:\WINDOWS\system32\WService.EXE
C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\ctfmon.exe
C:\WINDOWS\system32\wuauclt.exe
C:\Programme\Mozilla Firefox\firefox.exe
C:\Programme\Trend Micro\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://start.icq.com/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R3 - URLSearchHook: ICQ Toolbar - {855F3B16-6D32-4fe6-8A56-BBB695989046} - C:\PROGRA~1\ICQTOO~1\toolbaru.dll
O2 - BHO: XTTBPos00 - {055FD26D-3A88-4e15-963D-DC8493744B1D} - C:\PROGRA~1\ICQTOO~1\toolbaru.dll
O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.6.0_07\bin\ssv.dll
O3 - Toolbar: ICQ Toolbar - {855F3B16-6D32-4fe6-8A56-BBB695989046} - C:\PROGRA~1\ICQTOO~1\toolbaru.dll
O4 - HKLM\..\Run: [VTTimer] VTTimer.exe
O4 - HKLM\..\Run: [VTTrayp] VTtrayp.exe
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programme\Java\jre1.6.0_07\bin\jusched.exe"
O4 - HKLM\..\Run: [avgnt] "C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [WService] WService.EXE
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [TkBellExe] "C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe"  -osboot
O4 - HKLM\..\Run: [PSDrvCheck] C:\WINDOWS\system32\PSDrvCheck.exe
O4 - HKCU\..\Run: [updateMgr] "C:\Programme\Adobe\Acrobat 7.0\Reader\AdobeUpdateManager.exe" acrdb7_0_9
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'NETZWERKDIENST')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - S-1-5-18 Startup: StarOffice 7.lnk = C:\Program Files\StarOffice7\program\quickstart.exe (User 'SYSTEM')
O4 - .DEFAULT Startup: StarOffice 7.lnk = C:\Program Files\StarOffice7\program\quickstart.exe (User 'Default user')
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Programme\Gemeinsame Dateien\Adobe\Calibration\Adobe Gamma Loader.exe
O8 - Extra context menu item: Add selected links to Link Container - C:\PROGRA~2\ANTIVI~1\WEBFIL~1\System\Scripts\off_collector_sel.htm
O8 - Extra context menu item: Show domain links - C:\PROGRA~2\ANTIVI~1\WEBFIL~1\System\Scripts\off_domain_links.htm
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_07\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_07\bin\ssv.dll
O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe (file missing)
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe (file missing)
O9 - Extra button: Real.com - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - C:\WINDOWS\system32\Shdocvw.dll
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Programme\ICQ6\ICQ.exe
O9 - Extra 'Tools' menuitem: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Programme\ICQ6\ICQ.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O14 - IERESET.INF: START_PAGE_URL=http://www.yakumo.de
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.com/v5consumer/V5Controls/en/x86/client/wuweb_site.cab?1106423904781
O20 - AppInit_DLLs: 
O23 - Service: AntiVir PersonalEdition Classic Planer (AntiVirScheduler) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: Apple Mobile Device - Apple, Inc. - C:\Programme\Gemeinsame Dateien\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
O23 - Service: Autodesk Licensing Service - Autodesk - C:\Programme\Gemeinsame Dateien\Autodesk Shared\Service\AdskScSrv.exe
O23 - Service: Automatisches LiveUpdate - Scheduler - Symantec Corporation - C:\Programme\Symantec\LiveUpdate\ALUSchedulerSvc.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\1150\Intel 32\IDriverT.exe
O23 - Service: iPod-Dienst (iPod Service) - Apple Inc. - C:\Programme\iPod\bin\iPodService.exe
O23 - Service: LiveUpdate - Symantec Corporation - C:\PROGRA~1\Symantec\LIVEUP~1\LUCOMS~1.EXE
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: Phoenix VCD Service (PhnxVCDService) - Phoenix Technologies Ltd. - C:\WINDOWS\system32\PhnxCDSvr.exe
O23 - Service: PnkBstrA - Unknown owner - C:\WINDOWS\system32\PnkBstrA.exe
O23 - Service: PsShutdown (PsShutdownSvc) - Systems Internals - C:\WINDOWS\System32\PSSDNSVC.EXE
O23 - Service: TuneUp Drive Defrag-Dienst (TuneUp.Defrag) - TuneUp Software GmbH - C:\WINDOWS\System32\TuneUpDefragService.exe
O23 - Service: SecuROM User Access Service (V7) (UserAccess7) - Unknown owner - C:\WINDOWS\system32\UAService7.exe (file missing)
O23 - Service: Virtual CD v8 Management Service (VC8SecS) - H+H Software GmbH - C:\Programme\Virtual CD v8\System\VC8SecS.exe
O23 - Service: WinTab Service (WinTabService) - Tablet Driver - C:\WINDOWS\system32\DRIVERS\WtSrv.exe

--
End of file - 7930 bytes

myrtille 31.08.2008 02:38
Hi,

Zitat:
Zitat von 2xSchmux (Beitrag 367449)
Unglaublich, nach dem Neustart findet er virustotal wieder.
Gar nicht so unglaublich, wenn man weiß, dass die Umleitungen durch Malwarekomponenten provoziert werden, die Malwarebytes nur mithilfe eines Neustarts löschen kann. ;)

Nicht der Neustart hat das Problem gelöst, sondern das Programm Malwarebytes Anti-Malware. ;)
Zitat:
Die svchost.exe kann ich nur unter dem Verzeichnis C:\WINDOWS\system32\svchost.exe finden, nicht unter "drivers". Besteht da ein unterschied? Oder soll ich eben diese auf virustotal überprüfen lassen?
Ja, ein großer. :blabla:
Die Datei unter C:\windows\system32 ist eine wichtige Datei von Windows.
Die Datei unter C:\windows\system32\drivers ist ein Virus, der so tut als wäre er die zuerst genannte Datei. Damit der Mensch vor dem befallenen Rechner die Datei nicht so schnell löscht.
Die Datei unter C:\windows\system32 brauchst du nicht hochzuladen.
Zitat:
Hier noch der HJT Log:
Sieht gut aus.

Erstell bitte noch ein ein Filelisting mit diesem script:
  • Script abspeichern per Rechtsklick, speichern unter auf dem Desktop
  • Doppelklick auf listing8.cmd auf dem Desktop
  • nach kurzer Zeit erscheint eine listing.txt auf dem Desktop

Diese listing.txt z.B. bei File-Upload.net hochladen und hier verlinken, da dieses Logfile zu groß fürs Board ist.

lg myrtille

myrtille 31.08.2008 10:49
Auch das Log sieht gut aus.

Hast du noch Probleme mit dem Rechner?

lg myrtille

2xSchmux 31.08.2008 12:26
Nein bis jetzt hab ich keine Probleme mehr gehabt. Wenn der Bluescreen noch mal auftaucht poste ich nochmal.
Vielen Dank myrtille, für deine Hilfe mitten in der Nacht :dankeschoen:
Ich hatte schon angst dass ich mein system neu aufsetzten muss, aber dank deiner Hilfe siehts jetzt viel besser aus!

Ps: kannst du den file-upload link unbrauchbar machen? ich hab den lösch link natürlich net gespeichert. Muss ja net jeder meine daten sehen können..

myrtille 31.08.2008 12:40
Hi,

das mit dem Link ist in Arbeit. :D

Bei dir läuft noch das LiveUpdate von Symantec. Wenn du dieses deinstallieren willst, benutzt bitte das Removalprogramm von Norton: Link

Außerdem würde ich dir empfehlen bei Gelegenheit auch mal das SP3 zu installieren.

Ich würde dir auch empfehlen Malwarebytes zu behalten und gelegentlich deinen Rechner mit dem Tool zu scannen.

Wenn du das nicht willst, kannst du die genutzten Tools über Start->Systemsteuerung->Software deinstallieren. Die Filelisting.cmd kannst du einfach so löschen.


Wenn du all diese Schritte durchgeführt hast, und keine Probleme aufgetreten sind, dann kannst du noch die Systemwiederherstellung de- und reaktivieren, indem du unter Start->Systemsteuerung->System->Systemwiederherstellung den Haken bei "Systemwiederherstellung auf allen Laufwerken deaktivieren" setzt und später wieder rausnimmst.
Damit werden alle Wiederherstellungspunkte und darin eventuell vorhandene Reste der Infektion gelöscht.

lg myrtille

2xSchmux 31.08.2008 12:48
Malwarebytes behalte ich auf jeden Fall. Nochmal herzlichen Dank für die Tips und für deine Hilfe!

myrtille 31.08.2008 12:50
Gern Geschehen! :)

2xSchmux 08.09.2008 17:56
Falsche Links bei google, Episode 2
 
Hallo leute ich hab hier schonmal gepostet weil mein firefox immer falsche links bei google öffnet. Nachdem mir hier geholfen wurde hat auch alles wieder funktioniert, aber jetzt fängt der spaß von vorne an. Warum? Kann man noch was retten, oder soll ich gleich mein system neu aufsetzten?

myrtille 08.09.2008 18:01
Hi,

aktualisiere bitte Malwarebytes und lasse es nochmal deinen Rechner scannen. Poste die Antwort hier.

Erstell außerdem ein Hijackthislog und poste es ebenfalls hier.

Sowie einige Scans auf Dateien, Prozesse und Registryeinträge, die vor den meisten anderen Scannern versteckt werden (durch ein sogenanntes Rootkit). Während dieser Scans soll(en):
  • alle anderen Scanner gegen Viren, Spyware, usw deaktiviert sein
  • keine Verbindung zu einem Netzwerk/Internet bestehen (WLAN nicht vergessen)
  • nichts am Rechner getan werden
  • nach jedem Scan der Rechner neu gestartet werden
Gmer scannen lassen
  • Lade dir Gmer von dieser Seite runter und entpacke es auf deinen Desktop.
  • Starte gmer.exe. Alle anderen Programme sollen geschlossen sein.
  • Starte den Scan mit "Scan". Mache nichts am Computer während der Scan läuft.
  • Wenn der Scan fertig ist klicke auf "Copy" um das Log in die Zwischenablage zu kopieren. Mit "Ok" wird Gmer beendet.
  • Füge das Log aus der Zwischenablage in deine Antwort hier ein.
Catchme scannen lassen
  • Lade dir Catchme runter auf deinen Desktop.
  • Starte Catchme.exe. Alle anderen Programme sollen geschlossen sein. Mit "Scan" starten.
  • Falls nach dem Ende des Scans im Fenster Dateien stehen, dann klicke auf "Zip" damit eine Kopie dieser Dateien erzeugt wird. Die Dateien werden dabei nicht entfernt.
  • Das Log ist in catchme.log, füge es vollständig in deine Antwort ein.
RootkitRevealer scannen lassen
  • Lade RootkitRevealer runter und entpacke das Archiv in einen eigenen Ordner, z.B. C:\programme\rootkitrevealer.
  • Starte in diesem Ordner RootkitRevealer.exe. Alle anderen Programme schließen.
  • Starte durch Klick auf "Scan".
  • Wenn der Scan fertig ist das Logfile mit File -> Save abspeichern.

lg myrtille

2xSchmux 08.09.2008 18:03
Ah myrtille, vielen Dank schonmal im vorraus! Ich weis nicht ob ich das alles heute noch machen kann aber ich fang mal damit an! Danke nochmal

Sunny 08.09.2008 19:12
Hab eure Beiträge mal der Übersicht wegen zusammengelegt. ;)

2xSchmux 09.09.2008 20:19
So jetzt hab jetzt bis auf den rootkitrevealer (hab ihn ausgeführt, hat auch n paar sachen gefunden,konnte log aber aus unerfindlichen gründen nicht speichern, ich probiere es morgen nocheinmal) alle logfiles zusammen.

MalwareBytes:
Code:
Malwarebytes' Anti-Malware 1.27
Datenbank Version: 1131
Windows 5.1.2600 Service Pack 2

09.09.2008 19:32:24
mbam-log-2008-09-09 (19-32-17).txt

Scan-Methode: Vollständiger Scan (C:\|K:\|)
Durchsuchte Objekte: 255921
Laufzeit: 1 hour(s), 32 minute(s), 37 second(s)

Infizierte Speicherprozesse: 1
Infizierte Speichermodule: 0
Infizierte Registrierungsschlüssel: 9
Infizierte Registrierungswerte: 4
Infizierte Dateiobjekte der Registrierung: 2
Infizierte Verzeichnisse: 0
Infizierte Dateien: 10

Infizierte Speicherprozesse:
C:\WINDOWS\system32\drivers\svchost.exe (Heuristics.Reserved.Word.Exploit) -> No action taken.

Infizierte Speichermodule:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel:
HKEY_CLASSES_ROOT\toolband.xttbpos00 (Adware.BHO) -> No action taken.
HKEY_CLASSES_ROOT\TypeLib\{77d6ddfa-7834-4541-b2b3-a8b0fb0e3924} (Adware.BHO) -> No action taken.
HKEY_CLASSES_ROOT\CLSID\{055fd26d-3a88-4e15-963d-dc8493744b1d} (Adware.BHO) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{055fd26d-3a88-4e15-963d-dc8493744b1d} (Adware.BHO) -> No action taken.
HKEY_CLASSES_ROOT\CLSID\{4bd2d6c3-31dc-b947-23d0-dc52ec4f0c4c} (Adware.BHO) -> No action taken.
HKEY_CLASSES_ROOT\CLSID\{855f3b16-6d32-4fe6-8a56-bbb695989046} (Adware.BHO) -> No action taken.
HKEY_CLASSES_ROOT\toolband.xttbpos00.1 (Adware.BHO) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\tdssdata (Trojan.Agent) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\tdss (Trojan.Agent) -> No action taken.

Infizierte Registrierungswerte:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Toolbar\{855f3b16-6d32-4fe6-8a56-bbb695989046} (Adware.BHO) -> No action taken.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Internet Explorer\URLSearchHooks\{855f3b16-6d32-4fe6-8a56-bbb695989046} (Adware.BHO) -> No action taken.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Internet Explorer\Toolbar\WebBrowser\{855f3b16-6d32-4fe6-8a56-bbb695989046} (Adware.BHO) -> No action taken.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\svchost.exe (Trojan.Agent) -> No action taken.

Infizierte Dateiobjekte der Registrierung:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SecurityProviders (Broken.SecurityProviders) -> Bad: (msapsspc.dll schannel.dll digest.dll msnsspc.dll) Good: (msapsspc.dll, schannel.dll, digest.dll, msnsspc.dll) -> No action taken.
HKEY_CLASSES_ROOT\scrfile\shell\open\command\ (Broken.OpenCommand) -> Bad: ("%1" %*) Good: ("%1" /S) -> No action taken.

Infizierte Verzeichnisse:
(Keine bösartigen Objekte gefunden)

Infizierte Dateien:
C:\Programme\ICQToolbar\toolbaru.dll (Adware.BHO) -> No action taken.
C:\WINDOWS\system32\drivers\svchost.exe (Trojan.Agent) -> No action taken.
C:\WINDOWS\system32\tdssadw.dll (Trojan.Agent) -> No action taken.
C:\WINDOWS\system32\tdssl.dll (Trojan.Agent) -> No action taken.
C:\WINDOWS\system32\tdssserf.dll (Trojan.Agent) -> No action taken.
C:\WINDOWS\system32\tdssmain.dll (Trojan.Agent) -> No action taken.
C:\WINDOWS\system32\tdssinit.dll (Trojan.Agent) -> No action taken.
C:\WINDOWS\system32\tdsslog.dll (Trojan.Agent) -> No action taken.
C:\WINDOWS\system32\tdssservers.dat (Trojan.Agent) -> No action taken.
C:\WINDOWS\system32\drivers\tdssserv.sys (Trojan.Agent) -> No action taken.
Hijackthis:

Code:
Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 19:42:50, on 09.09.2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16705)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\savedump.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe
C:\Programme\Gemeinsame Dateien\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
C:\Programme\Gemeinsame Dateien\Autodesk Shared\Service\AdskScSrv.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\WINDOWS\system32\PhnxCDSvr.exe
C:\WINDOWS\system32\PnkBstrA.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\Virtual CD v8\System\VC8SecS.exe
C:\WINDOWS\system32\DRIVERS\WtSrv.exe
C:\WINDOWS\system32\VTTimer.exe
C:\Programme\Java\jre1.6.0_07\bin\jusched.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe
C:\WINDOWS\system32\RUNDLL32.EXE
C:\WINDOWS\system32\WService.EXE
C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe
C:\WINDOWS\system32\ctfmon.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\Mozilla Firefox\firefox.exe
C:\WINDOWS\system32\wuauclt.exe
C:\Programme\Trend Micro\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://start.icq.com/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R3 - Default URLSearchHook is missing
O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.6.0_07\bin\ssv.dll
O4 - HKLM\..\Run: [VTTimer] VTTimer.exe
O4 - HKLM\..\Run: [VTTrayp] VTtrayp.exe
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programme\Java\jre1.6.0_07\bin\jusched.exe"
O4 - HKLM\..\Run: [avgnt] "C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [WService] WService.EXE
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [TkBellExe] "C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe"  -osboot
O4 - HKLM\..\Run: [PSDrvCheck] C:\WINDOWS\system32\PSDrvCheck.exe
O4 - HKCU\..\Run: [updateMgr] "C:\Programme\Adobe\Acrobat 7.0\Reader\AdobeUpdateManager.exe" acrdb7_0_9
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'NETZWERKDIENST')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - S-1-5-18 Startup: StarOffice 7.lnk = C:\Program Files\StarOffice7\program\quickstart.exe (User 'SYSTEM')
O4 - .DEFAULT Startup: StarOffice 7.lnk = C:\Program Files\StarOffice7\program\quickstart.exe (User 'Default user')
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Programme\Gemeinsame Dateien\Adobe\Calibration\Adobe Gamma Loader.exe
O8 - Extra context menu item: Add selected links to Link Container - C:\PROGRA~2\ANTIVI~1\WEBFIL~1\System\Scripts\off_collector_sel.htm
O8 - Extra context menu item: Show domain links - C:\PROGRA~2\ANTIVI~1\WEBFIL~1\System\Scripts\off_domain_links.htm
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_07\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_07\bin\ssv.dll
O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe (file missing)
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe (file missing)
O9 - Extra button: Real.com - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - C:\WINDOWS\system32\Shdocvw.dll
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Programme\ICQ6\ICQ.exe
O9 - Extra 'Tools' menuitem: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Programme\ICQ6\ICQ.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O14 - IERESET.INF: START_PAGE_URL=http://www.yakumo.de
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.com/v5consumer/V5Controls/en/x86/client/wuweb_site.cab?1106423904781
O20 - AppInit_DLLs: 
O23 - Service: AntiVir PersonalEdition Classic Planer (AntiVirScheduler) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: Apple Mobile Device - Apple, Inc. - C:\Programme\Gemeinsame Dateien\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
O23 - Service: Autodesk Licensing Service - Autodesk - C:\Programme\Gemeinsame Dateien\Autodesk Shared\Service\AdskScSrv.exe
O23 - Service: Automatisches LiveUpdate - Scheduler - Unknown owner - C:\Programme\Symantec\LiveUpdate\ALUSchedulerSvc.exe (file missing)
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\1150\Intel 32\IDriverT.exe
O23 - Service: iPod-Dienst (iPod Service) - Apple Inc. - C:\Programme\iPod\bin\iPodService.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: Phoenix VCD Service (PhnxVCDService) - Phoenix Technologies Ltd. - C:\WINDOWS\system32\PhnxCDSvr.exe
O23 - Service: PnkBstrA - Unknown owner - C:\WINDOWS\system32\PnkBstrA.exe
O23 - Service: PsShutdown (PsShutdownSvc) - Systems Internals - C:\WINDOWS\System32\PSSDNSVC.EXE
O23 - Service: TuneUp Drive Defrag-Dienst (TuneUp.Defrag) - TuneUp Software GmbH - C:\WINDOWS\System32\TuneUpDefragService.exe
O23 - Service: SecuROM User Access Service (V7) (UserAccess7) - Unknown owner - C:\WINDOWS\system32\UAService7.exe (file missing)
O23 - Service: Virtual CD v8 Management Service (VC8SecS) - H+H Software GmbH - C:\Programme\Virtual CD v8\System\VC8SecS.exe
O23 - Service: WinTab Service (WinTabService) - Tablet Driver - C:\WINDOWS\system32\DRIVERS\WtSrv.exe

--
End of file - 7550 bytes

2xSchmux 09.09.2008 20:22
Gmer:

Code:
GMER 1.0.14.14536 - http://www.gmer.net
Rootkit scan 2008-09-09 20:04:29
Windows 5.1.2600 Service Pack 2


---- System - GMER 1.0.14 ----

SSDT    sptd.sys                                                                                                                                                                                                                                                                                      ZwCreateKey [0xF743B0B0]
SSDT    F7BB60CC                                                                                                                                                                                                                                                                                      ZwCreateThread
SSDT    sptd.sys                                                                                                                                                                                                                                                                                      ZwEnumerateKey [0xF743FD1C]
SSDT    sptd.sys                                                                                                                                                                                                                                                                                      ZwEnumerateValueKey [0xF74400BC]
SSDT    sptd.sys                                                                                                                                                                                                                                                                                      ZwOpenKey [0xF743B090]
SSDT    F7BB60B8                                                                                                                                                                                                                                                                                      ZwOpenProcess
SSDT    F7BB60BD                                                                                                                                                                                                                                                                                      ZwOpenThread
SSDT    sptd.sys                                                                                                                                                                                                                                                                                      ZwQueryKey [0xF7440194]
SSDT    sptd.sys                                                                                                                                                                                                                                                                                      ZwQueryValueKey [0xF7440014]
SSDT    sptd.sys                                                                                                                                                                                                                                                                                      ZwSetValueKey [0xF7440226]
SSDT    F7BB60C7                                                                                                                                                                                                                                                                                      ZwTerminateProcess
SSDT    F7BB60C2                                                                                                                                                                                                                                                                                      ZwWriteVirtualMemory

---- Kernel code sections - GMER 1.0.14 ----

?        greorfz.sys                                                                                                                                                                                                                                                                                  Das System kann die angegebene Datei nicht finden. !
?        C:\WINDOWS\system32\drivers\sptd.sys                                                                                                                                                                                                                                                          Der Prozess kann nicht auf die Datei zugreifen, da sie von einem anderen Prozess verwendet wird.
.text    USBPORT.SYS!DllUnload                                                                                                                                                                                                                                                                        F6A9C62C 5 Bytes  JMP 86E5A1B8
?        System32\Drivers\aroko1zt.SYS                                                                                                                                                                                                                                                                Das System kann die angegebene Datei nicht finden. !

---- Kernel IAT/EAT - GMER 1.0.14 ----

IAT      atapi.sys[HAL.dll!READ_PORT_UCHAR]                                                                                                                                                                                                                                                            [F743BAB6] sptd.sys
IAT      atapi.sys[HAL.dll!READ_PORT_BUFFER_USHORT]                                                                                                                                                                                                                                                    [F743BBEE] sptd.sys
IAT      atapi.sys[HAL.dll!READ_PORT_USHORT]                                                                                                                                                                                                                                                          [F743BB76] sptd.sys
IAT      atapi.sys[HAL.dll!WRITE_PORT_BUFFER_USHORT]                                                                                                                                                                                                                                                  [F743C71C] sptd.sys
IAT      atapi.sys[HAL.dll!WRITE_PORT_UCHAR]                                                                                                                                                                                                                                                          [F743C5F2] sptd.sys
IAT      \SystemRoot\system32\DRIVERS\i8042prt.sys[HAL.dll!READ_PORT_UCHAR]                                                                                                                                                                                                                            [F74607AE] sptd.sys
IAT      \SystemRoot\system32\DRIVERS\ndiswan.sys[NDIS.SYS!NdisRequest]                                                                                                                                                                                                                                [F79384A6] PDDSLHND.sys (ProDyne DSL Handler/ProDyne)
IAT      \SystemRoot\system32\DRIVERS\ndiswan.sys[NDIS.SYS!NdisCloseAdapter]                                                                                                                                                                                                                          [F7938166] PDDSLHND.sys (ProDyne DSL Handler/ProDyne)
IAT      \SystemRoot\system32\DRIVERS\ndiswan.sys[NDIS.SYS!NdisOpenAdapter]                                                                                                                                                                                                                            [F79381AE] PDDSLHND.sys (ProDyne DSL Handler/ProDyne)
IAT      \SystemRoot\system32\DRIVERS\ndiswan.sys[NDIS.SYS!NdisDeregisterProtocol]                                                                                                                                                                                                                    [F7938484] PDDSLHND.sys (ProDyne DSL Handler/ProDyne)
IAT      \SystemRoot\system32\DRIVERS\ndiswan.sys[NDIS.SYS!NdisRegisterProtocol]                                                                                                                                                                                                                      [F7938456] PDDSLHND.sys (ProDyne DSL Handler/ProDyne)
IAT      \SystemRoot\system32\DRIVERS\raspppoe.sys[NDIS.SYS!NdisRegisterProtocol]                                                                                                                                                                                                                      [F7938456] PDDSLHND.sys (ProDyne DSL Handler/ProDyne)
IAT      \SystemRoot\system32\DRIVERS\raspppoe.sys[NDIS.SYS!NdisRequest]                                                                                                                                                                                                                              [F79384A6] PDDSLHND.sys (ProDyne DSL Handler/ProDyne)
IAT      \SystemRoot\system32\DRIVERS\raspppoe.sys[NDIS.SYS!NdisOpenAdapter]                                                                                                                                                                                                                          [F79381AE] PDDSLHND.sys (ProDyne DSL Handler/ProDyne)
IAT      \SystemRoot\system32\DRIVERS\raspppoe.sys[NDIS.SYS!NdisCloseAdapter]                                                                                                                                                                                                                          [F7938166] PDDSLHND.sys (ProDyne DSL Handler/ProDyne)
IAT      \SystemRoot\system32\DRIVERS\raspppoe.sys[NDIS.SYS!NdisDeregisterProtocol]                                                                                                                                                                                                                    [F7938484] PDDSLHND.sys (ProDyne DSL Handler/ProDyne)
IAT      \SystemRoot\system32\DRIVERS\psched.sys[NDIS.SYS!NdisRequest]                                                                                                                                                                                                                                [F79384A6] PDDSLHND.sys (ProDyne DSL Handler/ProDyne)
IAT      \SystemRoot\system32\DRIVERS\psched.sys[NDIS.SYS!NdisDeregisterProtocol]                                                                                                                                                                                                                      [F7938484] PDDSLHND.sys (ProDyne DSL Handler/ProDyne)
IAT      \SystemRoot\system32\DRIVERS\psched.sys[NDIS.SYS!NdisRegisterProtocol]                                                                                                                                                                                                                        [F7938456] PDDSLHND.sys (ProDyne DSL Handler/ProDyne)
IAT      \SystemRoot\system32\DRIVERS\psched.sys[NDIS.SYS!NdisOpenAdapter]                                                                                                                                                                                                                            [F79381AE] PDDSLHND.sys (ProDyne DSL Handler/ProDyne)
IAT      \SystemRoot\system32\DRIVERS\psched.sys[NDIS.SYS!NdisCloseAdapter]                                                                                                                                                                                                                            [F7938166] PDDSLHND.sys (ProDyne DSL Handler/ProDyne)
IAT      \SystemRoot\System32\Drivers\NDProxy.SYS[NDIS.SYS!NdisRegisterProtocol]                                                                                                                                                                                                                      [F7938456] PDDSLHND.sys (ProDyne DSL Handler/ProDyne)
IAT      \SystemRoot\System32\Drivers\NDProxy.SYS[NDIS.SYS!NdisCloseAdapter]                                                                                                                                                                                                                          [F7938166] PDDSLHND.sys (ProDyne DSL Handler/ProDyne)
IAT      \SystemRoot\System32\Drivers\NDProxy.SYS[NDIS.SYS!NdisRequest]                                                                                                                                                                                                                                [F79384A6] PDDSLHND.sys (ProDyne DSL Handler/ProDyne)
IAT      \SystemRoot\System32\Drivers\NDProxy.SYS[NDIS.SYS!NdisOpenAdapter]                                                                                                                                                                                                                            [F79381AE] PDDSLHND.sys (ProDyne DSL Handler/ProDyne)
IAT      \SystemRoot\System32\Drivers\NDProxy.SYS[NDIS.SYS!NdisDeregisterProtocol]                                                                                                                                                                                                                    [F7938484] PDDSLHND.sys (ProDyne DSL Handler/ProDyne)
IAT      \SystemRoot\system32\DRIVERS\tcpip.sys[NDIS.SYS!NdisCloseAdapter]                                                                                                                                                                                                                            [F7938166] PDDSLHND.sys (ProDyne DSL Handler/ProDyne)
IAT      \SystemRoot\system32\DRIVERS\tcpip.sys[NDIS.SYS!NdisRequest]                                                                                                                                                                                                                                  [F79384A6] PDDSLHND.sys (ProDyne DSL Handler/ProDyne)
IAT      \SystemRoot\system32\DRIVERS\tcpip.sys[NDIS.SYS!NdisOpenAdapter]                                                                                                                                                                                                                              [F79381AE] PDDSLHND.sys (ProDyne DSL Handler/ProDyne)
IAT      \SystemRoot\system32\DRIVERS\tcpip.sys[NDIS.SYS!NdisRegisterProtocol]                                                                                                                                                                                                                        [F7938456] PDDSLHND.sys (ProDyne DSL Handler/ProDyne)
IAT      \SystemRoot\system32\DRIVERS\wanarp.sys[NDIS.SYS!NdisDeregisterProtocol]                                                                                                                                                                                                                      [F7938484] PDDSLHND.sys (ProDyne DSL Handler/ProDyne)
IAT      \SystemRoot\system32\DRIVERS\wanarp.sys[NDIS.SYS!NdisRegisterProtocol]                                                                                                                                                                                                                        [F7938456] PDDSLHND.sys (ProDyne DSL Handler/ProDyne)
IAT      \SystemRoot\system32\DRIVERS\wanarp.sys[NDIS.SYS!NdisOpenAdapter]                                                                                                                                                                                                                            [F79381AE] PDDSLHND.sys (ProDyne DSL Handler/ProDyne)
IAT      \SystemRoot\system32\DRIVERS\wanarp.sys[NDIS.SYS!NdisCloseAdapter]                                                                                                                                                                                                                            [F7938166] PDDSLHND.sys (ProDyne DSL Handler/ProDyne)
IAT      \SystemRoot\system32\DRIVERS\wanarp.sys[NDIS.SYS!NdisRequest]                                                                                                                                                                                                                                [F79384A6] PDDSLHND.sys (ProDyne DSL Handler/ProDyne)
IAT      \SystemRoot\system32\DRIVERS\ndisuio.sys[NDIS.SYS!NdisRegisterProtocol]                                                                                                                                                                                                                      [F7938456] PDDSLHND.sys (ProDyne DSL Handler/ProDyne)
IAT      \SystemRoot\system32\DRIVERS\ndisuio.sys[NDIS.SYS!NdisDeregisterProtocol]                                                                                                                                                                                                                    [F7938484] PDDSLHND.sys (ProDyne DSL Handler/ProDyne)
IAT      \SystemRoot\system32\DRIVERS\ndisuio.sys[NDIS.SYS!NdisRequest]                                                                                                                                                                                                                                [F79384A6] PDDSLHND.sys (ProDyne DSL Handler/ProDyne)
IAT      \SystemRoot\system32\DRIVERS\ndisuio.sys[NDIS.SYS!NdisCloseAdapter]                                                                                                                                                                                                                          [F7938166] PDDSLHND.sys (ProDyne DSL Handler/ProDyne)
IAT      \SystemRoot\system32\DRIVERS\ndisuio.sys[NDIS.SYS!NdisOpenAdapter]                                                                                                                                                                                                                            [F79381AE] PDDSLHND.sys (ProDyne DSL Handler/ProDyne)

2xSchmux 09.09.2008 20:24
Code:
---- Devices - GMER 1.0.14 ----

Device  \FileSystem\Ntfs \Ntfs                                                                                                                                                                                                                                                                        86FD01D8
Device  \Driver\usbuhci \Device\USBPDO-0                                                                                                                                                                                                                                                              86E521D8
Device  \Driver\usbuhci \Device\USBPDO-1                                                                                                                                                                                                                                                              86E521D8
Device  \Driver\usbuhci \Device\USBPDO-2                                                                                                                                                                                                                                                              86E521D8
Device  \Driver\usbuhci \Device\USBPDO-3                                                                                                                                                                                                                                                              86E521D8
Device  \Driver\usbehci \Device\USBPDO-4                                                                                                                                                                                                                                                              86DC2990
Device  \Driver\00000047 \Device\00000056                                                                                                                                                                                                                                                            sptd.sys
Device  \Driver\Ftdisk \Device\HarddiskVolume1                                                                                                                                                                                                                                                        86F6C1D8
Device  \Driver\NetBT \Device\NetBT_Tcpip_{7F876786-F097-4665-8446-4B4ECE62EE19}                                                                                                                                                                                                                      86978580
Device  \Driver\Cdrom \Device\CdRom0                                                                                                                                                                                                                                                                  86E77990
Device  \Driver\Cdrom \Device\CdRom1                                                                                                                                                                                                                                                                  86E77990
Device  \Driver\atapi \Device\Ide\IdePort0                                                                                                                                                                                                                                                            86FD11D8
Device  \Driver\atapi \Device\Ide\IdePort0                                                                                                                                                                                                                                                            sfsync03.sys (StarForce Protection Synchronization Driver/Protection Technology)
Device  \Driver\atapi \Device\Ide\IdeDeviceP0T0L0-4                                                                                                                                                                                                                                                  86FD11D8
Device  \Driver\atapi \Device\Ide\IdeDeviceP0T0L0-4                                                                                                                                                                                                                                                  sfsync03.sys (StarForce Protection Synchronization Driver/Protection Technology)
Device  \Driver\atapi \Device\Ide\IdePort1                                                                                                                                                                                                                                                            86FD11D8
Device  \Driver\atapi \Device\Ide\IdePort1                                                                                                                                                                                                                                                            sfsync03.sys (StarForce Protection Synchronization Driver/Protection Technology)
Device  \Driver\atapi \Device\Ide\IdeDeviceP0T1L0-c                                                                                                                                                                                                                                                  86FD11D8
Device  \Driver\atapi \Device\Ide\IdeDeviceP0T1L0-c                                                                                                                                                                                                                                                  sfsync03.sys (StarForce Protection Synchronization Driver/Protection Technology)
Device  \Driver\atapi \Device\Ide\IdeDeviceP1T0L0-17                                                                                                                                                                                                                                                  86FD11D8
Device  \Driver\atapi \Device\Ide\IdeDeviceP1T0L0-17                                                                                                                                                                                                                                                  sfsync03.sys (StarForce Protection Synchronization Driver/Protection Technology)
Device  \Driver\Cdrom \Device\CdRom2                                                                                                                                                                                                                                                                  86E77990
Device  \Driver\Cdrom \Device\CdRom3                                                                                                                                                                                                                                                                  86E77990
Device  \Driver\Cdrom \Device\CdRom4                                                                                                                                                                                                                                                                  86E77990
Device  \Driver\Cdrom \Device\CdRom5                                                                                                                                                                                                                                                                  86E77990
Device  \Driver\NetBT \Device\NetBt_Wins_Export                                                                                                                                                                                                                                                      86978580
Device  \Driver\NetBT \Device\NetbiosSmb                                                                                                                                                                                                                                                              86978580
Device  \Driver\usbuhci \Device\USBFDO-0                                                                                                                                                                                                                                                              86E521D8
Device  \Driver\usbuhci \Device\USBFDO-1                                                                                                                                                                                                                                                              86E521D8
Device  \FileSystem\MRxSmb \Device\LanmanDatagramReceiver                                                                                                                                                                                                                                            86964580
Device  \Driver\usbuhci \Device\USBFDO-2                                                                                                                                                                                                                                                              86E521D8
Device  \FileSystem\MRxSmb \Device\LanmanRedirector                                                                                                                                                                                                                                                  86964580
Device  \Driver\usbuhci \Device\USBFDO-3                                                                                                                                                                                                                                                              86E521D8
Device  \Driver\usbehci \Device\USBFDO-4                                                                                                                                                                                                                                                              86DC2990
Device  \Driver\Ftdisk \Device\FtControl                                                                                                                                                                                                                                                              86F6C1D8
Device  \Driver\aroko1zt \Device\Scsi\aroko1zt1                                                                                                                                                                                                                                                      86DAE990
Device  \Driver\aroko1zt \Device\Scsi\aroko1zt1                                                                                                                                                                                                                                                      sfsync03.sys (StarForce Protection Synchronization Driver/Protection Technology)
Device  \Driver\aroko1zt \Device\Scsi\aroko1zt1Port3Path0Target2Lun0                                                                                                                                                                                                                                  86DAE990
Device  \Driver\aroko1zt \Device\Scsi\aroko1zt1Port3Path0Target2Lun0                                                                                                                                                                                                                                  sfsync03.sys (StarForce Protection Synchronization Driver/Protection Technology)
Device  \Driver\vdrv8000 \Device\Scsi\vdrv80001Port2Path0Target0Lun0                                                                                                                                                                                                                                  86D91760
Device  \Driver\vdrv8000 \Device\Scsi\vdrv80001Port2Path0Target0Lun0                                                                                                                                                                                                                                  sfsync03.sys (StarForce Protection Synchronization Driver/Protection Technology)
Device  \Driver\vdrv8000 \Device\Scsi\vdrv80001                                                                                                                                                                                                                                                      86D91760
Device  \Driver\vdrv8000 \Device\Scsi\vdrv80001                                                                                                                                                                                                                                                      sfsync03.sys (StarForce Protection Synchronization Driver/Protection Technology)
Device  \Driver\aroko1zt \Device\Scsi\aroko1zt1Port3Path0Target1Lun0                                                                                                                                                                                                                                  86DAE990
Device  \Driver\aroko1zt \Device\Scsi\aroko1zt1Port3Path0Target1Lun0                                                                                                                                                                                                                                  sfsync03.sys (StarForce Protection Synchronization Driver/Protection Technology)
Device  \Driver\vdrv8000 \Device\Scsi\vdrv80001Port2Path0Target1Lun0                                                                                                                                                                                                                                  86D91760
Device  \Driver\vdrv8000 \Device\Scsi\vdrv80001Port2Path0Target1Lun0                                                                                                                                                                                                                                  sfsync03.sys (StarForce Protection Synchronization Driver/Protection Technology)
Device  \Driver\aroko1zt \Device\Scsi\aroko1zt1Port3Path0Target0Lun0                                                                                                                                                                                                                                  86DAE990
Device  \Driver\aroko1zt \Device\Scsi\aroko1zt1Port3Path0Target0Lun0                                                                                                                                                                                                                                  sfsync03.sys (StarForce Protection Synchronization Driver/Protection Technology)
Device  \FileSystem\Cdfs \Cdfs                                                                                                                                                                                                                                                                        86974990

2xSchmux 09.09.2008 20:27
Code:
---- Services - GMER 1.0.14 ----

Service  system32\drivers\TDSSserv.sys (*** hidden *** )                                                                                                                                                                                                                                              [SYSTEM] tdssserv                                                                                  <-- ROOTKIT !!!
Service  C:\WINDOWS\system32\DRIVERS\vdrv8000.sys (*** hidden *** )                                                                                                                                                                                                                                    [SYSTEM] vdrv8000                                                                                  <-- ROOTKIT !!!

---- Registry - GMER 1.0.14 ----

Reg      HKLM\SYSTEM\ControlSet001\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4                                                                                                                                                                                                                 
Reg      HKLM\SYSTEM\ControlSet001\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4@p0                                                                                                                                                                                                              C:\Programme\DAEMON Tools\
Reg      HKLM\SYSTEM\ControlSet001\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4@h0                                                                                                                                                                                                              0
Reg      HKLM\SYSTEM\ControlSet001\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4@khjeh                                                                                                                                                                                                            0xB9 0xD4 0x8C 0x51 ...
Reg      HKLM\SYSTEM\ControlSet001\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001                                                                                                                                                                                                       
Reg      HKLM\SYSTEM\ControlSet001\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001@a0                                                                                                                                                                                                      0x20 0x01 0x00 0x00 ...
Reg      HKLM\SYSTEM\ControlSet001\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001@khjeh                                                                                                                                                                                                  0x44 0x61 0x9F 0xBC ...
Reg      HKLM\SYSTEM\ControlSet001\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001\0Jf40                                                                                                                                                                                                 
Reg      HKLM\SYSTEM\ControlSet001\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001\0Jf40@khjeh                                                                                                                                                                                            0xC4 0x42 0x1E 0x5B ...
Reg      HKLM\SYSTEM\ControlSet001\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001\0Jf41                                                                                                                                                                                                 
Reg      HKLM\SYSTEM\ControlSet001\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001\0Jf41@khjeh                                                                                                                                                                                            0xA8 0xE7 0xAD 0xA2 ...
Reg      HKLM\SYSTEM\ControlSet001\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001\0Jf42                                                                                                                                                                                                 
Reg      HKLM\SYSTEM\ControlSet001\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001\0Jf42@khjeh                                                                                                                                                                                            0x23 0x79 0x65 0xE5 ...
Reg      HKLM\SYSTEM\ControlSet001\Services\vdrv7000@ServiceBinary                                                                                                                                                                                                                                    C:\WINDOWS\system32\drivers\VDRV7000.SYS
Reg      HKLM\SYSTEM\ControlSet001\Services\vdrv7000@Group                                                                                                                                                                                                                                            SCSI Miniport
Reg      HKLM\SYSTEM\ControlSet001\Services\vdrv7000@ImagePath                                                                                                                                                                                                                                        System32\Drivers\VDRV7000.SYS
Reg      HKLM\SYSTEM\ControlSet001\Services\vdrv7000@ErrorControl                                                                                                                                                                                                                                      1
Reg      HKLM\SYSTEM\ControlSet001\Services\vdrv7000@Start                                                                                                                                                                                                                                            1
Reg      HKLM\SYSTEM\ControlSet001\Services\vdrv7000@Type                                                                                                                                                                                                                                              1
Reg      HKLM\SYSTEM\ControlSet001\Services\vdrv7000@Tag                                                                                                                                                                                                                                              66
Reg      HKLM\SYSTEM\ControlSet001\Services\vdrv7000\Enum                                                                                                                                                                                                                                             
Reg      HKLM\SYSTEM\ControlSet001\Services\vdrv7000\Enum@0                                                                                                                                                                                                                                            ROOT\SCSIADAPTER\0000
Reg      HKLM\SYSTEM\ControlSet001\Services\vdrv7000\Enum@Count                                                                                                                                                                                                                                        1
Reg      HKLM\SYSTEM\ControlSet001\Services\vdrv7000\Enum@NextInstance                                                                                                                                                                                                                                1
Reg      HKLM\SYSTEM\ControlSet001\Services\vdrv7000\parameters                                                                                                                                                                                                                                       
Reg      HKLM\SYSTEM\ControlSet001\Services\vdrv7000\parameters\pnpinterface                                                                                                                                                                                                                         
Reg      HKLM\SYSTEM\ControlSet001\Services\vdrv7000\parameters\pnpinterface@1                                                                                                                                                                                                                        1
Reg      HKLM\SYSTEM\ControlSet001\Services\vdrv7000\security                                                                                                                                                                                                                                         
Reg      HKLM\SYSTEM\ControlSet002\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4                                                                                                                                                                                                                 
Reg      HKLM\SYSTEM\ControlSet002\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4@p0                                                                                                                                                                                                              C:\Programme\DAEMON Tools\
Reg      HKLM\SYSTEM\ControlSet002\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4@h0                                                                                                                                                                                                              0
Reg      HKLM\SYSTEM\ControlSet002\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4@khjeh                                                                                                                                                                                                            0xB9 0xD4 0x8C 0x51 ...
Reg      HKLM\SYSTEM\ControlSet002\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001                                                                                                                                                                                                       
Reg      HKLM\SYSTEM\ControlSet002\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001@a0                                                                                                                                                                                                      0x20 0x01 0x00 0x00 ...
Reg      HKLM\SYSTEM\ControlSet002\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001@khjeh                                                                                                                                                                                                  0xAA 0x92 0x46 0x7A ...
Reg      HKLM\SYSTEM\ControlSet002\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001\0Jf40                                                                                                                                                                                                 
Reg      HKLM\SYSTEM\ControlSet002\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001\0Jf40@khjeh                                                                                                                                                                                            0x82 0xAA 0xF1 0x44 ...
Reg      HKLM\SYSTEM\ControlSet002\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001\0Jf41                                                                                                                                                                                                 
Reg      HKLM\SYSTEM\ControlSet002\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001\0Jf41@khjeh                                                                                                                                                                                            0xEE 0x60 0x11 0xDA ...
Reg      HKLM\SYSTEM\ControlSet002\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001\0Jf42                                                                                                                                                                                                 
Reg      HKLM\SYSTEM\ControlSet002\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001\0Jf42@khjeh                                                                                                                                                                                            0x2C 0xE7 0x85 0x10 ...
Reg      HKLM\SYSTEM\ControlSet002\Services\tdssserv@start                                                                                                                                                                                                                                            1
Reg      HKLM\SYSTEM\ControlSet002\Services\tdssserv@type                                                                                                                                                                                                                                              1
Reg      HKLM\SYSTEM\ControlSet002\Services\tdssserv@imagepath                                                                                                                                                                                                                                        \systemroot\system32\drivers\TDSSserv.sys
Reg      HKLM\SYSTEM\ControlSet002\Services\vdrv8000@ServiceBinary                                                                                                                                                                                                                                    C:\WINDOWS\system32\drivers\VDRV8000.SYS
Reg      HKLM\SYSTEM\ControlSet002\Services\vdrv8000@Group                                                                                                                                                                                                                                            SCSI Miniport
Reg      HKLM\SYSTEM\ControlSet002\Services\vdrv8000@ImagePath                                                                                                                                                                                                                                        system32\DRIVERS\vdrv8000.sys
Reg      HKLM\SYSTEM\ControlSet002\Services\vdrv8000@ErrorControl                                                                                                                                                                                                                                      1
Reg      HKLM\SYSTEM\ControlSet002\Services\vdrv8000@Start                                                                                                                                                                                                                                            1
Reg      HKLM\SYSTEM\ControlSet002\Services\vdrv8000@Type                                                                                                                                                                                                                                              1
Reg      HKLM\SYSTEM\ControlSet002\Services\vdrv8000@Tag                                                                                                                                                                                                                                              68
Reg      HKLM\SYSTEM\ControlSet002\Services\vdrv8000\Enum                                                                                                                                                                                                                                             
Reg      HKLM\SYSTEM\ControlSet002\Services\vdrv8000\Enum@Count                                                                                                                                                                                                                                        1
Reg      HKLM\SYSTEM\ControlSet002\Services\vdrv8000\Enum@NextInstance                                                                                                                                                                                                                                1

2xSchmux 09.09.2008 20:28
Code:
Reg      HKLM\SYSTEM\ControlSet002\Services\vdrv8000\Enum@INITSTARTFAILED                                                                                                                                                                                                                              1
Reg      HKLM\SYSTEM\ControlSet002\Services\vdrv8000\Enum@0                                                                                                                                                                                                                                            Root\SCSIADAPTER\0000
Reg      HKLM\SYSTEM\ControlSet002\Services\vdrv8000\parameters                                                                                                                                                                                                                                       
Reg      HKLM\SYSTEM\ControlSet002\Services\vdrv8000\parameters\pnpinterface                                                                                                                                                                                                                         
Reg      HKLM\SYSTEM\ControlSet002\Services\vdrv8000\parameters\pnpinterface@1                                                                                                                                                                                                                        1
Reg      HKLM\SYSTEM\ControlSet002\Services\vdrv8000\security                                                                                                                                                                                                                                         
Reg      HKLM\SYSTEM\ControlSet002\Services\vdrv8000\security@Security                                                                                                                                                                                                                                0x01 0x00 0x14 0x80 ...
Reg      HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg@s1                                                                                                                                                                                                                                            11174584
Reg      HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg@s2                                                                                                                                                                                                                                            -2005570429
Reg      HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg@h0                                                                                                                                                                                                                                            1
Reg      HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4                                                                                                                                                                                                             
Reg      HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4@p0                                                                                                                                                                                                          C:\Programme\DAEMON Tools\
Reg      HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4@h0                                                                                                                                                                                                          0
Reg      HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4@khjeh                                                                                                                                                                                                        0xB9 0xD4 0x8C 0x51 ...
Reg      HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001                                                                                                                                                                                                   
Reg      HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001@a0                                                                                                                                                                                                  0x20 0x01 0x00 0x00 ...
Reg      HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001@khjeh                                                                                                                                                                                              0xAA 0x92 0x46 0x7A ...
Reg      HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001\0Jf40                                                                                                                                                                                             
Reg      HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001\0Jf40@khjeh                                                                                                                                                                                        0x82 0xAA 0xF1 0x44 ...
Reg      HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001\0Jf41                                                                                                                                                                                             
Reg      HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001\0Jf41@khjeh                                                                                                                                                                                        0xEE 0x60 0x11 0xDA ...
Reg      HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001\0Jf42                                                                                                                                                                                             
Reg      HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001\0Jf42@khjeh                                                                                                                                                                                        0x2C 0xE7 0x85 0x10 ...
Reg      HKLM\SYSTEM\CurrentControlSet\Services\tdssserv@start                                                                                                                                                                                                                                        1
Reg      HKLM\SYSTEM\CurrentControlSet\Services\tdssserv@type                                                                                                                                                                                                                                          1
Reg      HKLM\SYSTEM\CurrentControlSet\Services\tdssserv@imagepath                                                                                                                                                                                                                                    \systemroot\system32\drivers\TDSSserv.sys
Reg      HKLM\SYSTEM\CurrentControlSet\Services\vdrv8000@ServiceBinary                                                                                                                                                                                                                                C:\WINDOWS\system32\drivers\VDRV8000.SYS
Reg      HKLM\SYSTEM\CurrentControlSet\Services\vdrv8000@Group                                                                                                                                                                                                                                        SCSI Miniport
Reg      HKLM\SYSTEM\CurrentControlSet\Services\vdrv8000@ImagePath                                                                                                                                                                                                                                    system32\DRIVERS\vdrv8000.sys
Reg      HKLM\SYSTEM\CurrentControlSet\Services\vdrv8000@ErrorControl                                                                                                                                                                                                                                  1
Reg      HKLM\SYSTEM\CurrentControlSet\Services\vdrv8000@Start                                                                                                                                                                                                                                        1
Reg      HKLM\SYSTEM\CurrentControlSet\Services\vdrv8000@Type                                                                                                                                                                                                                                          1
Reg      HKLM\SYSTEM\CurrentControlSet\Services\vdrv8000@Tag                                                                                                                                                                                                                                          68
Reg      HKLM\SYSTEM\CurrentControlSet\Services\vdrv8000\Enum                                                                                                                                                                                                                                         
Reg      HKLM\SYSTEM\CurrentControlSet\Services\vdrv8000\Enum@Count                                                                                                                                                                                                                                    1
Reg      HKLM\SYSTEM\CurrentControlSet\Services\vdrv8000\Enum@NextInstance                                                                                                                                                                                                                            1
Reg      HKLM\SYSTEM\CurrentControlSet\Services\vdrv8000\Enum@INITSTARTFAILED                                                                                                                                                                                                                          1
Reg      HKLM\SYSTEM\CurrentControlSet\Services\vdrv8000\Enum@0                                                                                                                                                                                                                                        Root\SCSIADAPTER\0000
Reg      HKLM\SYSTEM\CurrentControlSet\Services\vdrv8000\parameters                                                                                                                                                                                                                                   
Reg      HKLM\SYSTEM\CurrentControlSet\Services\vdrv8000\parameters\pnpinterface                                                                                                                                                                                                                     
Reg      HKLM\SYSTEM\CurrentControlSet\Services\vdrv8000\parameters\pnpinterface@1                                                                                                                                                                                                                    1
Reg      HKLM\SYSTEM\CurrentControlSet\Services\vdrv8000\security                                                                                                                                                                                                                                     
Reg      HKLM\SYSTEM\CurrentControlSet\Services\vdrv8000\security@Security                                                                                                                                                                                                                            0x01 0x00 0x14 0x80 ...



---- EOF - GMER 1.0.14 ----
und Catchme:

Code:
catchme 0.3.1344 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2008-09-09 20:12:16
Windows 5.1.2600 Service Pack 2 NTFS

scanning hidden processes ...

scanning hidden services & system hive ...

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4]
"p0"="C:\Programme\DAEMON Tools\"
"h0"=dword:00000000
"khjeh"=hex:b9,d4,8c,51,54,7b,ac,99,e0,b6,01,60,88,44,9c,06,9b,df,b0,d8,1d,..

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001]
"a0"=hex:20,01,00,00,a8,50,2e,1e,c9,0b,6c,f0,20,16,37,06,4c,36,a2,f9,ae,..
"khjeh"=hex:44,61,9f,bc,ce,0f,9f,2e,5b,cf,79,44,10,d7,ca,0e,6c,fe,ba,cc,c2,..

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001\0Jf40]
"khjeh"=hex:c4,42,1e,5b,3a,1a,be,b5,e0,1e,2d,6b,96,e8,85,07,ee,f3,b1,f1,1f,..

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001\0Jf41]
"khjeh"=hex:a8,e7,ad,a2,b9,83,a1,3f,0a,bd,7d,f0,71,f2,a0,d3,ad,50,35,59,9c,..

2xSchmux 09.09.2008 20:29
Code:
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001\0Jf42]
"khjeh"=hex:23,79,65,e5,8f,d2,79,ae,14,eb,4a,14,6a,ae,b7,06,29,ef,36,60,f3,..
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\vdrv7000]
"ServiceBinary"="C:\WINDOWS\system32\drivers\VDRV7000.SYS"
"Group"="SCSI Miniport"
"ImagePath"=str(2):"System32\Drivers\VDRV7000.SYS"
"ErrorControl"=dword:00000001
"Start"=dword:00000001
"Type"=dword:00000001
"Tag"=dword:00000042

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\vdrv7000\Enum]
"0"="ROOT\SCSIADAPTER\0000"
"Count"=dword:00000001
"NextInstance"=dword:00000001

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\vdrv7000\parameters]

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\vdrv7000\security]
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4]
"p0"="C:\Programme\DAEMON Tools\"
"h0"=dword:00000000
"khjeh"=hex:b9,d4,8c,51,54,7b,ac,99,e0,b6,01,60,88,44,9c,06,9b,df,b0,d8,1d,..

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001]
"a0"=hex:20,01,00,00,a8,50,2e,1e,c9,0b,6c,f0,20,16,37,06,4c,36,a2,f9,ae,..
"khjeh"=hex:aa,92,46,7a,93,a7,4e,4b,b5,a8,07,f5,d8,64,da,b1,32,29,48,3c,32,..

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001\0Jf40]
"khjeh"=hex:82,aa,f1,44,09,03,6c,73,de,56,46,0e,f7,38,06,fc,35,c3,65,f6,e2,..

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001\0Jf41]
"khjeh"=hex:ee,60,11,da,31,e3,4a,1b,38,61,09,d2,4c,72,a9,ba,0d,81,18,52,32,..

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001\0Jf42]
"khjeh"=hex:2c,e7,85,10,26,10,9b,7a,71,0d,f8,f5,17,9e,19,32,62,26,7a,56,d3,..
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\tdssserv]
"start"=dword:00000001
"type"=dword:00000001
"imagepath"=str(2):"\systemroot\system32\drivers\TDSSserv.sys"
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\vdrv8000]
"ServiceBinary"="C:\WINDOWS\system32\drivers\VDRV8000.SYS"
"Group"="SCSI Miniport"
"ImagePath"=str(2):"system32\DRIVERS\vdrv8000.sys"
"ErrorControl"=dword:00000001
"Start"=dword:00000001
"Type"=dword:00000001
"Tag"=dword:00000044

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\vdrv8000\Enum]
"Count"=dword:00000001
"NextInstance"=dword:00000001
"INITSTARTFAILED"=dword:00000001
"0"="Root\SCSIADAPTER\0000"

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\vdrv8000\parameters]

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\vdrv8000\security]
"Security"=hex:01,00,14,80,90,00,00,00,9c,00,00,00,14,00,00,00,30,00,00,00,02,..
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\sptd\Cfg]
"s1"=dword:00aa82b8
"s2"=dword:88756c83
"h0"=dword:00000001

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4]
"p0"="C:\Programme\DAEMON Tools\"
"h0"=dword:00000000
"khjeh"=hex:b9,d4,8c,51,54,7b,ac,99,e0,b6,01,60,88,44,9c,06,9b,df,b0,d8,1d,..

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001]
"a0"=hex:20,01,00,00,a8,50,2e,1e,c9,0b,6c,f0,20,16,37,06,4c,36,a2,f9,ae,..
"khjeh"=hex:aa,92,46,7a,93,a7,4e,4b,b5,a8,07,f5,d8,64,da,b1,32,29,48,3c,32,..

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001\0Jf40]
"khjeh"=hex:82,aa,f1,44,09,03,6c,73,de,56,46,0e,f7,38,06,fc,35,c3,65,f6,e2,..

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001\0Jf41]
"khjeh"=hex:ee,60,11,da,31,e3,4a,1b,38,61,09,d2,4c,72,a9,ba,0d,81,18,52,32,..

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001\0Jf42]
"khjeh"=hex:2c,e7,85,10,26,10,9b,7a,71,0d,f8,f5,17,9e,19,32,62,26,7a,56,d3,..
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\tdssserv]
"start"=dword:00000001
"type"=dword:00000001
"imagepath"=str(2):"\systemroot\system32\drivers\TDSSserv.sys"
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\vdrv8000]
"ServiceBinary"="C:\WINDOWS\system32\drivers\VDRV8000.SYS"
"Group"="SCSI Miniport"
"ImagePath"=str(2):"system32\DRIVERS\vdrv8000.sys"
"ErrorControl"=dword:00000001
"Start"=dword:00000001
"Type"=dword:00000001
"Tag"=dword:00000044

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\vdrv8000\Enum]
"Count"=dword:00000001
"NextInstance"=dword:00000001
"INITSTARTFAILED"=dword:00000001
"0"="Root\SCSIADAPTER\0000"

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\vdrv8000\parameters]

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\vdrv8000\security]
"Security"=hex:01,00,14,80,90,00,00,00,9c,00,00,00,14,00,00,00,30,00,00,00,02,..

scanning hidden registry entries ...

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Prefetcher]
"TracesProcessed"=dword:00000000
"TracesSuccessful"=dword:00000000
"LastTraceFailure"=dword:00000000

scanning hidden files ...

scan completed successfully
hidden processes: 0
hidden services: 0
hidden files: 0
Vielen dank fürs checken! Und `tschuldigung fürs umständliche posten, hoffentlich klappts trotzdem!

myrtille 09.09.2008 20:30
Hi,

ok, es ist offensichtlich wo das Problem liegt. Führe bitte mal Combofix aus:

ComboFix Ein Leitfaden und Tutorium zur Nutzung von ComboFix
  • Lade dir das Tool hier herunter auf den Desktop -> KLICK
Das Programm jedoch noch nicht starten sondern zuerst folgendes tun:
  • Schliesse alle Anwendungen und Programme, vor allem deine Antiviren-Software und andere Hintergrundwächter, sowie deinen Internetbrowser. Vermeide es auch explizit während das Combofix läuft die Maus und Tastatur zu benutzen.
  • Starte nun die combofix.exe von deinem Desktop aus, bestätige die Warnmeldungen und lass dein System durchsuchen.
  • Im Anschluss öffnet sich automatisch eine combofix.txt, diesen Inhalt bitte abkopieren und in deinen Beitrag einfügen. Das log findest du außerdem unter: C:\ComboFix.txt.
Wichtiger Hinweis:
Combofix darf ausschließlich ausgeführt werden wenn ein Kompetenzler dies ausdrücklich empfohlen hat! Es sollte nie auf eigene Initiative hin ausgeführt werden! Eine falsche Benutzung kann ernsthafte Computerprobleme nach sich ziehen und eine Bereinigung der Infektion noch erschweren.
Hinweis: Combofix verhindert die Autostart Funktion aller CD / DVD und USB - Laufwerken um so eine Verbeitung einzudämmen. Wenn es hierdurch zu Problemen kommt, diese im Thread posten.

lg myrtille

2xSchmux 09.09.2008 21:26
Und wie siehts aus?

Code:
ComboFix 08-09-05.12 - *** 2008-09-09 22:14:00.2 - NTFSx86
Microsoft Windows XP Home Edition  5.1.2600.2.1252.1.1031.18.628 [GMT 2:00]
ausgeführt von:: C:\Dokumente und Einstellungen\***\Desktop\ComboFix.exe

Achtung - Auf diesem PC ist keine Wiederherstellungskonsole installiert !!
.
        /wow section - STAGE 40
grep: lockD: No such file or directory
grep: lockD: No such file or directory


(((((((((((((((((((((((  Dateien erstellt von 2008-08-09 bis 2008-09-09  ))))))))))))))))))))))))))))))
.

2008-09-09 22:08 . 2008-09-09 22:08        <DIR>        d--------        C:\Programme\CCleaner
2008-09-09 20:27 . 2008-09-09 20:27        0        --a------        C:\WINDOWS\system32\JJPB
2008-09-09 19:37 . 2008-09-09 19:37        <DIR>        d--------        C:\Programme\RootkitRevealer
2008-09-09 19:36 . 2008-09-09 19:43        250        --a------        C:\WINDOWS\gmer.ini
2008-08-31 13:51 . 2008-08-31 13:51        <DIR>        d--------        C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\NortonInstaller
2008-08-31 01:33 . 2008-09-09 19:32        <DIR>        d--------        C:\Programme\Malwarebytes' Anti-Malware
2008-08-31 01:33 . 2008-08-31 01:33        <DIR>        d--------        C:\Dokumente und Einstellungen\***\Anwendungsdaten\Malwarebytes
2008-08-31 01:33 . 2008-08-31 01:33        <DIR>        d--------        C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Malwarebytes
2008-08-31 01:33 . 2008-09-08 00:11        38,528        --a------        C:\WINDOWS\system32\drivers\mbamswissarmy.sys
2008-08-31 01:33 . 2008-09-08 00:11        17,200        --a------        C:\WINDOWS\system32\drivers\mbam.sys
2008-08-31 00:26 . 2008-08-31 00:26        <DIR>        d--------        C:\Programme\Trend Micro

.
((((((((((((((((((((((((((((((((((((  Find3M Bericht  ))))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2008-09-09 19:47        ---------        d-----w        C:\Dokumente und Einstellungen\***\Anwendungsdaten\AdobeUM
2008-09-09 17:32        ---------        d-----w        C:\Programme\ICQToolbar
2008-09-08 15:03        138,176        ----a-w        C:\WINDOWS\system32\drivers\PnkBstrK.sys
2008-09-08 15:03        111,928        ----a-w        C:\WINDOWS\system32\PnkBstrB.exe
2008-09-04 00:48        ---------        d-----w        C:\Programme\No23 Recorder
2008-08-31 12:15        ---------        d-----w        C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Symantec
2008-08-31 11:57        ---------        d-----w        C:\Programme\Gemeinsame Dateien\Symantec Shared
2008-08-28 11:51        ---------        d-----w        C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\SecTaskMan
2008-07-17 10:26        ---------        d-----w        C:\Programme\Java
2008-07-11 18:23        ---------        d-----w        C:\Programme\Pontifex II
2008-07-11 09:41        ---------        d-----w        C:\Programme\Apple Software Update
2008-07-07 20:30        253,952        ----a-w        C:\WINDOWS\system32\es.dll
2008-07-07 20:30        253,952        ----a-w        C:\WINDOWS\system32\dllcache\es.dll
2008-06-24 16:22        74,240        ----a-w        C:\WINDOWS\system32\mscms.dll
2008-06-24 16:22        74,240        ----a-w        C:\WINDOWS\system32\dllcache\mscms.dll
2008-06-24 08:14        3,592,192        ----a-w        C:\WINDOWS\system32\dllcache\mshtml.dll
2008-06-23 09:20        70,656        ----a-w        C:\WINDOWS\system32\dllcache\ie4uinit.exe
2008-06-23 09:20        625,664        ----a-w        C:\WINDOWS\system32\dllcache\iexplore.exe
2008-06-23 09:20        13,824        ------w        C:\WINDOWS\system32\dllcache\ieudinit.exe
2008-06-21 05:23        161,792        ----a-w        C:\WINDOWS\system32\dllcache\ieakui.dll
2008-06-20 17:51        98,304        ----a-w        C:\WINDOWS\system32\CmdLineExt.dll
2008-06-20 17:36        247,296        ----a-w        C:\WINDOWS\system32\mswsock.dll
2008-06-20 17:36        247,296        ----a-w        C:\WINDOWS\system32\dllcache\mswsock.dll
2008-06-20 17:36        147,968        ----a-w        C:\WINDOWS\system32\dllcache\dnsapi.dll
2008-06-20 10:44        360,960        ----a-w        C:\WINDOWS\system32\dllcache\tcpip.sys
2008-06-20 10:44        138,368        ----a-w        C:\WINDOWS\system32\dllcache\afd.sys
2008-06-20 09:32        225,920        ----a-w        C:\WINDOWS\system32\dllcache\tcpip6.sys
2008-06-14 17:57        273,024        ------w        C:\WINDOWS\system32\dllcache\bthport.sys
2006-10-12 18:03        786        ----a-w        C:\Programme\INSTALL.LOG
2007-12-27 20:03        56        --sh--r        C:\WINDOWS\system32\71BB05619D.sys
2007-12-27 20:03        3,350        --sha-w        C:\WINDOWS\system32\KGyGaAvL.sys
.

((((((((((((((((((((((((((((  Autostart Punkte der Registrierung  ))))))))))))))))))))))))))))))))))))))))
.
.
*Hinweis* leere Eintrage & legitime Standardeintrage werden nicht angezeigt.
REGEDIT4

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"updateMgr"="C:\Programme\Adobe\Acrobat 7.0\Reader\AdobeUpdateManager.exe" [2006-03-30 313472]
"ctfmon.exe"="C:\WINDOWS\system32\ctfmon.exe" [2004-08-04 15360]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"NvCplDaemon"="C:\WINDOWS\system32\NvCpl.dll" [2007-12-05 8523776]
"SunJavaUpdateSched"="C:\Programme\Java\jre1.6.0_07\bin\jusched.exe" [2008-06-10 144784]
"avgnt"="C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe" [2008-07-19 266497]
"NvMediaCenter"="C:\WINDOWS\system32\NvMcTray.dll" [2007-12-05 81920]
"TkBellExe"="C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe" [2008-03-15 185896]
"PSDrvCheck"="C:\WINDOWS\system32\PSDrvCheck.exe" [2003-08-28 396800]
"VTTimer"="VTTimer.exe" [2005-03-08 C:\WINDOWS\system32\VTTimer.exe]
"VTTrayp"="VTtrayp.exe" [2005-03-11 C:\WINDOWS\system32\VTTrayp.exe]
"WService"="WService.EXE" [2005-11-23 C:\WINDOWS\system32\WService.exe]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="C:\WINDOWS\system32\CTFMON.EXE" [2004-08-04 15360]

C:\WINDOWS\system32\config\systemprofile\Startmen\Programme\Autostart\
StarOffice 7.lnk - C:\Program Files\StarOffice7\program\quickstart.exe [2003-11-01 122880]

C:\Dokumente und Einstellungen\Administrator\Startmen\Programme\Autostart\
StarOffice 7.lnk - C:\Program Files\StarOffice7\program\quickstart.exe [2003-11-01 122880]

C:\Dokumente und Einstellungen\Gast\Startmen\Programme\Autostart\
StarOffice 7.lnk - C:\Program Files\StarOffice7\program\quickstart.exe [2003-11-01 122880]

C:\WINDOWS\system32\config\systemprofile\Startmen\Programme\Autostart\
StarOffice 7.lnk - C:\Program Files\StarOffice7\program\quickstart.exe [2003-11-01 122880]

C:\Dokumente und Einstellungen\All Users\Startmen\Programme\Autostart\
Adobe Gamma Loader.lnk - C:\Programme\Gemeinsame Dateien\Adobe\Calibration\Adobe Gamma Loader.exe [2008-01-17 110592]

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon]
"UIHost"="C:\\WINDOWS\\system32\\logonui.exe"

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\windows]
"AppInit_DLLs"=

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\drivers32]
"vidc.ffds"= C:\PROGRA~1\COMBIN~1\Filters\FFDShow\ff_vfw.dll

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\ISUSPM Startup]
--a------ 2004-07-27 17:50 221184 C:\PROGRA~1\GEMEIN~1\INSTAL~1\UPDATE~1\ISUSPM.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\ISUSScheduler]
--a------ 2005-06-10 11:44 81920 C:\Programme\Gemeinsame Dateien\InstallShield\UpdateService\issch.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\MSMSGS]
--------- 2004-10-13 18:24 1694208 C:\Programme\Messenger\msmsgs.exe

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\run-]
"CTFMON.EXE"=C:\WINDOWS\system32\ctfmon.exe

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\run-]
"New.net Startup"=rundll32 C:\PROGRA~1\NEWDOT~1\NEWDOT~2.DLL,ClientStartup -s

[HKEY_LOCAL_MACHINE\software\microsoft\security center]
"AntiVirusDisableNotify"=dword:00000001

[HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring\SymantecFirewall]
"DisableMonitoring"=dword:00000001

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile]
"EnableFirewall"= 0 (0x0)

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\system32\\sessmgr.exe"=
"%windir%\\Network Diagnostic\\xpnetdiag.exe"=
"C:\\Programme\\Wolfenstein - Enemy Territory\\ET.exe"=
"C:\\Programme\\ICQ6\\ICQ.exe"=
"C:\\Soldat\\Soldat.exe"=
"C:\\Programme\\iTunes\\iTunes.exe"=
"C:\\Programme\\Mozilla Firefox\\firefox.exe"=
"C:\\3dsmax7\\3dsmax.exe"=
"C:\\Programme\\backburner 2\\monitor.exe"=
"C:\\Programme\\backburner 2\\manager.exe"=
"C:\\Programme\\backburner 2\\server.exe"=
"C:\\Programme\\iRaTe2\\irate2.exe"=
"C:\\Programme\\Anno 1701\\Anno1701.exe"=

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List]
"2881:UDP"= 2881:UDP:Windows Media Format SDK (ps_olect.exe)
"2921:UDP"= 2921:UDP:Windows Media Format SDK (ps_olect.exe)

R0 PDDSLHND;PDDSLHND;C:\WINDOWS\system32\drivers\PDDSLHND.sys [2005-02-23 14256]
R0 ptpd;Disk Filter Driver;C:\WINDOWS\system32\drivers\ptpd.sys [2005-02-11 7680]
R0 sfsync03;StarForce Protection Synchronization Driver (version 3.x);C:\WINDOWS\system32\drivers\sfsync03.sys [2005-12-06 35328]
R1 Cinemsup;Cinemsup;C:\WINDOWS\system32\drivers\Cinemsup.sys [2003-12-19 6656]
R1 vdrv8000;vdrv8000;C:\WINDOWS\system32\DRIVERS\vdrv8000.sys [2006-06-20 100352]
R2 ACEDRV06;ACEDRV06;C:\WINDOWS\system32\drivers\ACEDRV06.sys [2007-03-03 99840]
R2 ACEDRV09;ACEDRV09;C:\WINDOWS\system32\drivers\ACEDRV09.sys [2007-04-07 110304]
R2 Machnm32;Machnm32 Driver;C:\WINDOWS\system32\Machnm32.sys [2003-08-13 2304]
R2 UxTuneUp;TuneUp Designerweiterung;C:\WINDOWS\System32\svchost.exe [2004-08-04 14336]
R3 PDDSLADP;ProDyne DSL Adapter;C:\WINDOWS\system32\DRIVERS\PDDSLADP.SYS [2005-02-23 15568]
R3 PhnxVcd;PhnxVcd;C:\WINDOWS\system32\Drivers\PhnxVcd.sys [2005-07-21 44544]
S2 Automatisches LiveUpdate - Scheduler;Automatisches LiveUpdate - Scheduler;C:\Programme\Symantec\LiveUpdate\ALUSchedulerSvc.exe [ ]
S3 DMSKSSRh;DMSKSSRh;C:\DOKUME~1\***\LOKALE~1\Temp\DMSKSSRh.sys [ ]
S3 ERDJL;ERDJL;C:\DOKUME~1\***\LOKALE~1\Temp\ERDJL.exe [ ]
S3 HHCDHelp.sys;HHCDHelp.sys;C:\WINDOWS\system32\drivers\HHCDHelp.sys [2006-04-25 11520]
S3 PciCon;PciCon;D:\PciCon.sys [ ]
S3 PsShutdownSvc;PsShutdown;C:\WINDOWS\System32\PSSDNSVC.EXE [2005-01-18 65536]
S3 TuneUp.Defrag;TuneUp Drive Defrag-Dienst;C:\WINDOWS\System32\TuneUpDefragService.exe [2008-03-14 307968]

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Svchost  - NetSvcs
UxTuneUp

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{2c6f7d00-6ba9-11da-bc7d-806d6172696f}]
\Shell\AutoRun\command - D:\Autorun.exe "/OEMDocs/start_PG/styles/run_tmp.bat"

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{38c900a1-13a0-11dd-bdd5-0013d3e719db}]
\Shell\AutoRun\command - B:\Autorun.exe

*Newly Created Service* - CATCHME

[HKEY_LOCAL_MACHINE\software\microsoft\active setup\installed components\{2B7F010B-F32F-F75C-E86A-55DF6A9761C6}]
C:\Programme\winrfl\svchostini.exe s
.
Inhalt des "geplante Tasks" Ordners
.
.
------- Zusätzlicher Scan -------
.
FireFox -: Profile - C:\Dokumente und Einstellungen\***\Anwendungsdaten\Mozilla\Firefox\Profiles\4y9mnh6n.default\
FireFox -: prefs.js - SEARCH.DEFAULTURL - hxxp://www.google.com/search?lr=&ie=UTF-8&oe=UTF-8&q=
FireFox -: prefs.js - STARTUP.HOMEPAGE - hxxp://www.google.de/
FF -: plugin - C:\Programme\Adobe\Acrobat 7.0\Reader\browser\nppdf32.dll
FF -: plugin - C:\Programme\iTunes\Mozilla Plugins\npitunes.dll
.

**************************************************************************

catchme 0.3.1361 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2008-09-09 22:15:50
Windows 5.1.2600 Service Pack 2 NTFS

Scanne versteckte Prozesse...

Scanne versteckte Autostart Einträge...

Scanne versteckte Dateien...

Scan erfolgreich abgeschlossen
versteckte Dateien: 0

**************************************************************************

[HKEY_LOCAL_MACHINE\system\ControlSet003\Services\vdrv8000]
"ImagePath"="system32\DRIVERS\vdrv8000.sys"
.
Zeit der Fertigstellung: 2008-09-09 22:18:34
ComboFix-quarantined-files.txt  2008-09-09 20:17:47

Pre-Run: 21 Verzeichnis(se), 35,215,302,656 Bytes frei
Post-Run: 23 Verzeichnis(se), 35,197,804,544 Bytes frei

189        --- E O F ---        2008-08-25 10:30:06

myrtille 09.09.2008 22:03
Hi

das sieht gar nicht so schlecht aus.

Anleitung Avenger (by swandog46) Lade dir das Tool Avenger und speichere es auf dem Desktop:
  • Kopiere nun folgenden Text in das weiße Feld bei -> "input script here"
Code:

Files to delete:
C:\WINDOWS\system32\JJPB
C:\Programme\winrfl\svchostini.exe
Folder to delete:
C:\PROGRAMME\NEWDOTNET
Registry values to delete:
HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\run-|"New.net Startup"
http://saved.im/mzi3ndg3nta0/aven.jpg
  • Schliesse nun alle Programme und Browser-Fenster
  • Um den Avenger zu starten klicke auf -> Execute
  • Dann bestätigen mit "Yes" das der Rechner neu startet
  • Nachdem das System neu gestartet ist, findest du einen Report vom Avenger unter -> C:\avenger.txt
  • Öffne die Datei mit dem Editor und kopiere den gesamten Text in deinen Beitrag hier am Trojaner-Board.

lg myrtille

2xSchmux 09.09.2008 22:11
Code:
Logfile of The Avenger Version 2.0, (c) by Swandog46
http://swandog46.geekstogo.com

Platform:  Windows XP

*******************

Script file opened successfully.
Script file read successfully.

Backups directory opened successfully at C:\Avenger

*******************

Beginning to process script file:

Rootkit scan active.
No rootkits found!

File "C:\WINDOWS\system32\JJPB" deleted successfully.

Error:  file "C:\Programme\winrfl\svchostini.exe" not found!
Deletion of file "C:\Programme\winrfl\svchostini.exe" failed!
Status: 0xc0000034 (STATUS_OBJECT_NAME_NOT_FOUND)
  --> the object does not exist


Error:  file "Folder to delete:" not found!
Deletion of file "Folder to delete:" failed!
Status: 0xc0000034 (STATUS_OBJECT_NAME_NOT_FOUND)
  --> the object does not exist


Error:  file "C:\PROGRAMME\NEWDOTNET" not found!
Deletion of file "C:\PROGRAMME\NEWDOTNET" failed!
Status: 0xc0000034 (STATUS_OBJECT_NAME_NOT_FOUND)
  --> the object does not exist


Error:  could not delete registry value "HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\run-|"New.net Startup""
Deletion of registry value "HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\run-|"New.net Startup"" failed!
Status: 0xc0000034 (STATUS_OBJECT_NAME_NOT_FOUND)
  --> the object does not exist


Completed script processing.

*******************

Finished!  Terminate.

myrtille 09.09.2008 22:48
Hi,

starte deinen Rechner bitte neu. Beende alle Programme (auch virtual Cd und Co) und erstell ein weiteres log mit gmer.

lg myrtille

2xSchmux 11.09.2008 20:18
Okay hier der gmer log als link:

h**p://www.file-upload.net/download-1105508/gmer.log.html

myrtille 11.09.2008 20:58
Hi,

das Log ist soweit sauber. :)

Wie gehts dem Rechner?

lg myrtille

2xSchmux 12.09.2008 21:47
Der Rechner hat sich wieder beruhigt....ich hoffe das bleibt ne weile so! Wenns wieder Probleme gibt poste ich nochmal! Herzlichen dank nochmal myrtille!

myrtille 12.09.2008 23:54
Heya,

immer langsam mit den Pferden. :D Die gesamte Malware ist noch in Backupfoldern auf deinen Rechner vorhanden. Das würd ich gern noch ändern. :D

Deinstalliere bitte Combofix in dem du unter Start->Ausführen-> "%userprofile%\Desktop\Combofix.exe" /u eingibst.
Lösche bitte die restlichen Programme (bis auf Hijackthis und Malwarebytes) per Hand, sowie den Ordner C:\avenger.

Erstelle bitte noch ein Logfile mit Hijackthis und mit Malwarebytes und poste beide hier.

Ich würde dir empfehlen Malwarebytes zu behalten und gelegentlich deinen Rechner damit zu scannen. Wenn du es nicht behalten willst, kannst du es, genau wie Hijackthis über Start->Systemsteuerung->Software deinstallieren.

lg myrtille

2xSchmux 15.09.2008 17:26
So hat ein bisschen gedauert, aber hier die logs:

Code:
Malwarebytes' Anti-Malware 1.27
Datenbank Version: 1131
Windows 5.1.2600 Service Pack 2

15.09.2008 18:19:41
mbam-log-2008-09-15 (18-19-41).txt

Scan-Methode: Vollständiger Scan (C:\|)
Durchsuchte Objekte: 211863
Laufzeit: 1 hour(s), 30 minute(s), 5 second(s)

Infizierte Speicherprozesse: 0
Infizierte Speichermodule: 0
Infizierte Registrierungsschlüssel: 0
Infizierte Registrierungswerte: 0
Infizierte Dateiobjekte der Registrierung: 0
Infizierte Verzeichnisse: 0
Infizierte Dateien: 0

Infizierte Speicherprozesse:
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungswerte:
(Keine bösartigen Objekte gefunden)

Infizierte Dateiobjekte der Registrierung:
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse:
(Keine bösartigen Objekte gefunden)

Infizierte Dateien:
(Keine bösartigen Objekte gefunden)
Code:
Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 18:24:14, on 15.09.2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16705)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe
C:\Programme\Gemeinsame Dateien\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
C:\Programme\Gemeinsame Dateien\Autodesk Shared\Service\AdskScSrv.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\WINDOWS\system32\PhnxCDSvr.exe
C:\WINDOWS\system32\PnkBstrA.exe
C:\WINDOWS\system32\svchost.exe
C:\Programme\Virtual CD v8\System\VC8SecS.exe
C:\WINDOWS\system32\DRIVERS\WtSrv.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\VTTimer.exe
C:\Programme\Java\jre1.6.0_07\bin\jusched.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe
C:\WINDOWS\system32\RUNDLL32.EXE
C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe
C:\WINDOWS\system32\WService.EXE
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\Gemeinsame Dateien\Real\Update_OB\RealOneMessageCenter.exe
C:\Programme\Mozilla Firefox\firefox.exe
C:\Programme\Trend Micro\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://start.icq.com/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.6.0_07\bin\ssv.dll
O4 - HKLM\..\Run: [VTTimer] VTTimer.exe
O4 - HKLM\..\Run: [VTTrayp] VTtrayp.exe
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programme\Java\jre1.6.0_07\bin\jusched.exe"
O4 - HKLM\..\Run: [avgnt] "C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [WService] WService.EXE
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [TkBellExe] "C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe"  -osboot
O4 - HKLM\..\Run: [PSDrvCheck] C:\WINDOWS\system32\PSDrvCheck.exe
O4 - HKCU\..\Run: [updateMgr] "C:\Programme\Adobe\Acrobat 7.0\Reader\AdobeUpdateManager.exe" acrdb7_0_9
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'NETZWERKDIENST')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - S-1-5-18 Startup: StarOffice 7.lnk = C:\Program Files\StarOffice7\program\quickstart.exe (User 'SYSTEM')
O4 - .DEFAULT Startup: StarOffice 7.lnk = C:\Program Files\StarOffice7\program\quickstart.exe (User 'Default user')
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Programme\Gemeinsame Dateien\Adobe\Calibration\Adobe Gamma Loader.exe
O8 - Extra context menu item: Add selected links to Link Container - C:\PROGRA~2\ANTIVI~1\WEBFIL~1\System\Scripts\off_collector_sel.htm
O8 - Extra context menu item: Show domain links - C:\PROGRA~2\ANTIVI~1\WEBFIL~1\System\Scripts\off_domain_links.htm
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_07\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_07\bin\ssv.dll
O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe (file missing)
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe (file missing)
O9 - Extra button: Real.com - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - C:\WINDOWS\system32\Shdocvw.dll
O9 - Extra button: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Programme\ICQ6\ICQ.exe
O9 - Extra 'Tools' menuitem: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Programme\ICQ6\ICQ.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O14 - IERESET.INF: START_PAGE_URL=http://www.yakumo.de
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.com/v5consumer/V5Controls/en/x86/client/wuweb_site.cab?1106423904781
O20 - AppInit_DLLs: 
O23 - Service: AntiVir PersonalEdition Classic Planer (AntiVirScheduler) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: Apple Mobile Device - Apple, Inc. - C:\Programme\Gemeinsame Dateien\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
O23 - Service: Autodesk Licensing Service - Autodesk - C:\Programme\Gemeinsame Dateien\Autodesk Shared\Service\AdskScSrv.exe
O23 - Service: Automatisches LiveUpdate - Scheduler - Unknown owner - C:\Programme\Symantec\LiveUpdate\ALUSchedulerSvc.exe (file missing)
O23 - Service: ERDJL - Unknown owner - C:\DOKUME~1\***\LOKALE~1\Temp\ERDJL.exe (file missing)
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\1150\Intel 32\IDriverT.exe
O23 - Service: iPod-Dienst (iPod Service) - Apple Inc. - C:\Programme\iPod\bin\iPodService.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: Phoenix VCD Service (PhnxVCDService) - Phoenix Technologies Ltd. - C:\WINDOWS\system32\PhnxCDSvr.exe
O23 - Service: PnkBstrA - Unknown owner - C:\WINDOWS\system32\PnkBstrA.exe
O23 - Service: PsShutdown (PsShutdownSvc) - Systems Internals - C:\WINDOWS\System32\PSSDNSVC.EXE
O23 - Service: TuneUp Drive Defrag-Dienst (TuneUp.Defrag) - TuneUp Software GmbH - C:\WINDOWS\System32\TuneUpDefragService.exe
O23 - Service: SecuROM User Access Service (V7) (UserAccess7) - Unknown owner - C:\WINDOWS\system32\UAService7.exe (file missing)
O23 - Service: Virtual CD v8 Management Service (VC8SecS) - H+H Software GmbH - C:\Programme\Virtual CD v8\System\VC8SecS.exe
O23 - Service: WinTab Service (WinTabService) - Tablet Driver - C:\WINDOWS\system32\DRIVERS\WtSrv.exe

--
End of file - 7358 bytes
Und wie siehts jetzt aus?

myrtille 16.09.2008 00:33
Hi,

deine Logs sind sauber :) Wenns dem Rechner gut geht, sollte es das gewesen sein. :D

lg myrtille

2xSchmux 16.09.2008 16:46
Das freut mich! Ich hoff dass es ne weile so bleibt... ansonsten haben wir bald wieder was miteinander zu tun :D
Danke nochmal myrtille :aplaus:

2xSchmux 29.09.2008 19:02
Es fängt wieder an.... bei Suchbegriffen in google lande ich immer öfters auf ask.com! Erst beim zweiten Versuch klappts dann.... ausserdem ist mein firefox schon wieder so langsam und verbraucht zeitweise 90% cpu!
Kann mir jmd sagen was da los ist?! Ist echt nervig solangsam...
Ah genau und mein firefox hängt sich auch manchmal einfach auf und tut gar nix mehr...
Bin dankbar für jede Hilfe!

myrtille 29.09.2008 22:07
Hi,


ask.com gehört eigentlich nicht zur selben Malware. :confused:

Hast du versucht mit Malwarebytes zu scannen? Gab es Funde?
Schau bitte mal ob du alle Erweiterungen für Firefox kennst, die bei dir installiert sind.

Poste ebenfalls ein Hijackthislog.
Du kannst natürlich neuaufsetzen und wenn es danach nochmal wiederkommt, müssen wir schauen, ob bei deinen "Surfgewohnheiten" etwas im Argen liegt.

Hast du auf einer Webseite Warnmeldungen erhalten?

lg myrtille

2xSchmux 29.09.2008 23:02
Ich denke mal wenn es an meinen Surfgewohnheiten liegen würde, würde ich nicht bei ask.com landen, sondern bei "anderen" Seiten...
Und Neuaufsetzen...puah.. das mach ich echt nur im Notfall, also ich lass die Tage mal komplett durchscannen und poste hier.
:killpc:

myrtille 29.09.2008 23:35
Ich meinte eher, dass du dich auf einer (mehreren) Seiten bewegts, auf der Malware verbreitet wird.
Das kann auch eine kleine Seite sein, bei der das ohne das Wissen des Besitzers der Seite geschieht. Da müsste man dann mal in der Richtung nach Ursachen suchen.

lg myrtille

Tyraspotar 01.11.2008 21:13
also guck vielleicht mal bei systemsteuerun unter Programme deinstallieren ob da etwas is was du nicht kennst.Wenn du etwas da nicht kennst deinstalliere es


Alle Zeitangaben in WEZ +1. Es ist jetzt 21:07 Uhr.

Copyright ©2000-2025, Trojaner-Board


Search Engine Optimization by vBSEO ©2011, Crawlability, Inc.

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99 100 101 102 103 104 105 106 107 108 109 110 111 112 113 114 115 116 117 118 119 120 121 122 123 124 125 126 127 128 129 130 131